Независимый аудитор безопасности кода и инфраструктуры

Что за роль

Нужен независимый аудитор для регулярной проверки кода и инфраструктуры проекта в сфере финтеха, платежей и iGaming. В среднем предполагается один аудит в неделю: важно выявлять уязвимости, технический долг и слабые места, а затем переводить находки в понятный план исправлений. Проектная работа включает повторные проверки после внесённых изменений.

Что предстоит делать

• Проверять код на TypeScript и Next.js, включая монорепозиторий, App Router, серверные компоненты, роуты и middleware; анализировать Prisma и PostgreSQL.
• Оценивать зрелость реализации: находить заглушки, недоделки, необработанные ошибки, гонки, утечки, проблемы N+1 и риски небезопасных миграций.
• Искать уязвимости в авторизации и аутентификации, работе с секретами, API, вебхуками и платёжными интеграциями; проверять риски SSRF и IDOR.
• Проводить аудит конфигурации Caddy, Cloudflare и TLS, а также двух Debian VM, Docker Compose, GitLab CI/CD и собственных раннеров и реестра образов.
• Проверять мониторинг и логирование на базе Grafana, Loki и Prometheus, Telegram-алерты и схемы резервного копирования базы данных.
• Оценивать безопасность и надёжность внешних интеграций, включая кошельки, on-ramp-сервисы, API криптоданных, почтовые сервисы и Telegram.
• Готовить отчёты с уровнями Critical, High, Medium и Low: указывать риск, последствия, ссылку на файл или строку кода и конкретные рекомендации; формировать порядок исправлений.
• По запросу проводить retest после исправлений и кратко ревьюить pull request.

Что потребуется

• От четырёх-пяти лет коммерческого опыта разработки.
• Уверенное знание TypeScript и Next.js 15/16, включая App Router, серверные компоненты, маршруты и middleware.
• Практический опыт с Prisma и PostgreSQL: миграции, индексы, транзакции и диагностика узких мест.
• Опыт аудита безопасности веб-приложений, знание OWASP Top 10, принципов управления сессиями и секретами, защиты API и вебхуков.
• Понимание Docker Compose, обратных прокси, сетевой безопасности, TLS и Cloudflare; опыт работы с GitLab CI/CD и мониторингом.
• Умение описывать находки предметно: объяснять риск и последствия, указывать место проблемы и предлагать способ исправления.

Что важно знать

Это проектная работа с регулярным аудитом уже существующей инфраструктуры и программного обеспечения. Дополнительным преимуществом будет опыт с финтехом, платежами, криптокошельками, отслеживанием транзакций или казино-платформами; эти знания не заменяют основную экспертизу в безопасности веб-приложений.