Независимый аудитор кода и безопасности веб-приложений

Что за роль

Ищут независимого аудитора кода и инфраструктуры для проекта в сфере FinTech, high-risk payments и iGaming. В среднем предстоит проводить один аудит в неделю: находить уязвимости, оценивать технический долг и зрелость реализации, а затем передавать команде приоритизированный план исправлений с конкретными рекомендациями.

Что предстоит делать

• Проводить аудит монорепозитория на Next.js 15, Prisma и PostgreSQL, а также Telegram-бота, админки, витрин и отдельного сервиса на Next.js 16 с NextAuth.
• Выявлять заглушки и недоделанные части, ошибки обработки, гонки, утечки, проблемы N+1 и риски небезопасных миграций.
• Проверять авторизацию и аутентификацию, управление секретами, API и вебхуки; искать инъекции, SSRF, IDOR и уязвимости платёжных интеграций.
• Оценивать настройки Caddy, Cloudflare и TLS, а также инфраструктуру на Debian VM, конфигурацию Docker Compose и GitLab CI/CD.
• Проверять мониторинг и логирование в Grafana, Loki и Prometheus, алерты в Telegram и схему резервного копирования базы данных.
• Анализировать внешние интеграции, включая кошельки, платёжные сервисы, источники курсов и почтовые сервисы, с точки зрения надёжности и безопасности.
• Готовить отчёт с уровнями Critical, High, Medium и Low, описанием риска, ссылками на файлы и строки кода и конкретным планом исправлений; по запросу проводить повторный аудит и краткое ревью PR.

Что потребуется

• От 4–5 лет коммерческой разработки.
• Уверенное знание TypeScript и Next.js, включая App Router, серверные компоненты, роуты и middleware.
• Практический опыт с Prisma и PostgreSQL: миграции, индексы, транзакции и типовые проблемы производительности.
• Опыт аудита безопасности веб-приложений, знание OWASP Top 10, аутентификации, сессий, управления секретами, API и вебхуков.
• Понимание Docker Compose, Caddy, сетевой безопасности, TLS и Cloudflare; знакомство с GitLab CI и системами мониторинга и логирования.
• Умение писать ясные технические отчёты: объяснять риск и последствия, указывать место проблемы и предлагать способ исправления.

Что важно знать

Занятость проектная и сдельная, ориентировочно один аудит в неделю; указана возможность работать удалённо в любой временной зоне при оперативной связи. Опыт в платежах, FinTech, криптовалютных кошельках или iGaming будет преимуществом. Важная часть работы — не только обнаружить проблему, но и дать команде проверяемые выводы и понятный порядок устранения рисков.