AppSec: mercado

Vacante

un empleo abierto que superó el filtro de calidad y menciona al menos dos tecnologías

Candidato observado

un candidato cuyo stack contiene esta tecnología; es un agregado: ni un solo registro sale del perímetro

Candidato emparejable

aún no contabilizado

Ventana

empleos abiertos en el momento en que se generó el snapshot

Junior: entrada típica: 1) Backend Senior + interés por la seguridad (la profundidad en programación ya está; faltan las técnicas de seguridad), 2) Security Engineer Middle + interés por el trabajo a fondo con código, 3) cazador de bug bounty con historial (reputación en HackerOne / experiencia en programas privados) → AppSec interno. El salto de Junior a Middle: tras la primera integración de un SDLC seguro de extremo a extremo (SAST + SCA + modelo de amenazas hecho para un producto) + el triaje del primer hallazgo de gravedad alta. De Middle a Senior: responsabilidad de AppSec sobre varios productos + gestión del programa de bug bounty + responsabilidad sobre las métricas de AppSec (mandato típico: reducir el tiempo medio de corrección de los hallazgos críticos a <7 días). De Senior a Staff / Principal / AppSec Architect: patrones de diseño seguro para toda la organización + arquitecturas de referencia de seguridad + desarrollo de formación en seguridad de producto. Trayectoria: Backend Senior (3-5 años) + interés → AppSec Junior (1-2 años) → Middle (2-3 años) → Senior → luego AppSec Architect, Bug Bounty / Security Researcher, especialista en seguridad de APIs, vía de CISO de seguridad de producto o consultoría de seguridad externa.

Principales 5: cloud, ci/cd, python, aws, kubernetes. Dominio de SAST: dominio de Semgrep (en auge 2026, rápido + reglas propias en YAML + packs de reglas de la comunidad, líder para proyectos nuevos), SonarQube / SonarCloud (maduro, híbrido de calidad de código + seguridad), CodeQL (GitHub Advanced Security, el mejor para shops GitHub-native, lenguaje de consulta semántico), Checkmarx + Veracode + Synopsys Coverity (enterprise). Ruso: Positive Technologies PT Application Inspector. Dominio de DAST: OWASP ZAP (estándar gratuito, apto para automatización vía ZAP API / Docker), Burp Suite Professional (PortSwigger, estándar de la industria para pentesting manual + Burp Collaborator para vulnerabilidades ciegas + Burp Extensions), Acunetix, StackHawk (DAST moderno en CI), Detectify, Bright Security. Dominio de SCA: Snyk domina 2026 (mejor UX + plugins de IDE + auto-PR de arreglos), Dependabot (base gratuita de GitHub), Renovate (avanzado, mejor para monorepos), Sonatype Nexus IQ, FOSSA (compliance de licencias), JFrog Xray. IAST: Contrast Security (líder, instrumentación en runtime, basado en agente), HCL AppScan, Veracode IAST. API Security (en auge 2024+): Salt Security (líder en descubrimiento + posture de API), Noname Security, 42Crunch (OpenAPI-first, el mejor para el enfoque design-first), Traceable, Wallarm (de origen ruso + global), Cequence. Conocimiento del framework OWASP API Security Top 10. Herramientas de Threat Modelling: Microsoft Threat Modeling Tool (gratis, escritorio), OWASP Threat Dragon (open-source), IriusRisk (automatización enterprise), Tutamen. Metodología STRIDE (Microsoft, Spoofing / Tampering / Repudiation / Information Disclosure / Denial of Service / Elevation of Privilege) + PASTA (orientado a proceso, 7 etapas) + LINDDUN (centrado en privacidad) + Attack Trees. Plataformas de Bug Bounty: HackerOne (la mayor), Bugcrowd, Intigriti (líder europea), YesWeHack (francesa), Synack (premium con vetting). Rusas: Standoff Bug Bounty (PT, la mayor en Rusia), Bug Bounty Russia. RASP: Contrast Protect, Imperva RASP, Signal Sciences. WAF: Cloudflare WAF (domina 2026), AWS WAF, Imperva, Fortinet FortiWeb, F5 Advanced WAF, Akamai App & API Protector. Rusos: Wallarm + Kaspersky DDoS + Qrator. Herramientas de revisión de cripto: testssl.sh + Qualys SSL Labs + cryptosense. Auth / Authz: OAuth 2.1 + OIDC + SAML a fondo, trampas de JWT a fondo (alg=none + key confusion + signature stripping + expired tokens), gestión de sesiones, OWASP ASVS. Conocimiento de vulnerabilidades por lenguaje: Java (Log4Shell + JNDI + deserialización), .NET (BinaryFormatter + ViewState), Python (pickle + YAML + subprocess injection), JavaScript / TypeScript (prototype pollution + XSS context-aware encoding + npm supply chain), Go (path traversal + SSRF + TOCTOU), Rust (auditoría de bloques unsafe), C / C++ (vulnerabilidades de memory safety). Lenguajes para tooling: Python principal, JS / TS, más conocimiento de lectura de todos los lenguajes target.

Security Engineer (general): cobertura amplia de todos los dominios de seguridad. Enfoque: operaciones de SIEM + gestión de vulnerabilidades + identidad + red + cumplimiento. Ver Security Engineer (general). DevSecOps Engineer: enfoque en la seguridad en los pipelines de CI/CD + seguridad de IaC + runtime de contenedores + integridad de la cadena de suministro. Del lado de la infraestructura. Con mucha programación para la automatización. Ver DevSecOps. AppSec Engineer (esta página): enfoque en la seguridad del código del producto: clasificación de hallazgos de SAST, modelado de amenazas para funcionalidades, revisión de código de seguridad, patrones de diseño seguro, clasificación de reportes de bug bounty, formación en seguridad para desarrolladores, seguridad de APIs. Del lado del código (frente al de la infraestructura). Programación más profunda por la exigencia de varios lenguajes. Pentester / Ethical Hacker: enfoque ofensivo: romper cosas, encontrar vulnerabilidades mediante explotación activa. Ver Penetration Tester / Red Team. A menudo en consultoras o en bug bounty. Realidad 2026 (mapa de solapamiento): AppSec ↔ DevSecOps: 50% (ambos usan SAST/SCA, pero el enfoque difiere). AppSec ↔ Pentester: 40% (ambos piensan de forma ofensiva, pero el Pentester hace explotación activa y AppSec es preventivo). AppSec ↔ Security Engineer: 30% (AppSec profundiza en un dominio, el Security Engineer abarca amplitud). Cambios de carrera: Backend Senior → AppSec Junior: 4-8 meses (la profundidad en programación ya está). Pentester / Bug Hunter → AppSec: 2-4 meses (la intuición ofensiva se traslada). DevSecOps Senior → AppSec: 2-4 meses (solapamiento de conocimientos de seguridad). AppSec Senior → Product Security Architect: 2-4 años. Qué tamaños de empresa usan qué rol: Startups pequeñas: una persona = todo (híbrido Security Engineer / DevSecOps / AppSec). Medianas (50-500 ingenieros): roles separados. Big Tech (ingenieros): el equipo de Product Security (sinónimos: AppSec / Product Security) es una organización separada de la seguridad corporativa.

Pipeline de referencia de SDLC seguro 2026 (seguridad integrada en cada etapa del ciclo de vida del desarrollo de software): 1) Formación en seguridad (continua): los desarrolladores pasan por OWASP Top 10 + talleres de programación segura + formación sobre vulnerabilidades específicas de cada lenguaje. Herramientas: SecureFlag, Codebashing (Checkmarx), Avatao (formación interactiva). Requisito: actualización anual + el onboarding incluye un módulo de seguridad de 4+ horas. 2) Modelado de amenazas (por cada funcionalidad nueva / cambio importante): sesión con la metodología STRIDE junto a producto / ingeniería / AppSec. Documentar la superficie de ataque + las mitigaciones. Herramientas: Microsoft Threat Modeling Tool / OWASP Threat Dragon / IriusRisk (automatización enterprise). Resultado: un documento de modelo de amenazas adjunto al documento de diseño. 3) Revisión de diseño seguro: un revisor de AppSec aprueba las decisiones de arquitectura que afectan a la seguridad (flujos de autenticación, manejo de datos, integraciones de terceros, elección de criptografía). 4) Pre-commit hooks: hooks locales de Git con escaneo de secretos (GitLeaks / TruffleHog) + plugins del IDE (las extensiones de Semgrep / SonarLint / Snyk marcan vulnerabilidades en vivo). Rechazar commits con secretos filtrados. 5) Creación de PR / MR: comprobaciones automáticas: SAST (Semgrep + CodeQL + SonarQube), SCA (Snyk + Dependabot: marcan vulnerabilidades en dependencias + PR automáticos de actualización), seguridad de IaC (Checkov), escaneo de secretos. El PR se bloquea ante hallazgos críticos. 6) Revisión de código: los PR marcados por seguridad etiquetan automáticamente al equipo de AppSec. Revisión manual de seguridad del código en funcionalidades que tocan autenticación / criptografía / manejo de datos. 7) Merge a main: batería completa de escaneos de seguridad en CI: SAST más profundo (más lento), escaneos DAST del entorno de staging (OWASP ZAP / StackHawk contra la API + UI de staging), IAST (Contrast Security en ejecución si está instalado), escaneo de cumplimiento de licencias (FOSSA / Snyk License Compliance). 8) Pentest previo al lanzamiento (para funcionalidades importantes): equipo interno de AppSec o pentest externo. Un pentest estándar = un encargo de 5-15 días. 9) Programa de bug bounty: programa público o privado en HackerOne / Bugcrowd / Intigriti / Standoff (ruso). Triaje de los informes recibidos: SLA típico: primera respuesta en 24 h, validación en 5 d, corrección en 30-90 d según la severidad. 10) Continuo tras el lanzamiento: monitorización en ejecución (RASP: Contrast Protect), monitorización de seguridad de APIs (Salt / Noname / 42Crunch), análisis de logs del WAF (Cloudflare / AWS WAF), dashboard de métricas de seguridad (tiempo medio de corrección por severidad, puntuación de postura de AppSec, % de funcionalidades que pasan por revisión de diseño seguro). Transversal: métricas de AppSec que se siguen: MTTR (tiempo medio de corrección) de vulnerabilidades, % de hallazgos de severidad alta cerrados dentro del SLA, deuda de seguridad en el tiempo, puntuación de madurez OWASP SAMM / BSIMM, densidad de vulnerabilidades por KLOC. Informes de cumplimiento: recogida automática de evidencias para auditorías SOC 2 / ISO 27001 / PCI-DSS (Drata / Vanta / Secureframe). Un AppSec Senior es responsable de todo este pipeline + del ajuste de la tasa de falsos positivos + del equilibrio entre seguridad y velocidad de los desarrolladores.

Sí, el 45% de los empleos de AppSec Engineer son full-remote o híbridos. El trabajo de AppSec es principalmente code review + herramientas de seguridad SaaS + colaboración remota con los equipos de ingeniería. Las outsourcing shops — casi siempre remotas en proyectos de AppSec de EE. UU. Los bancos y empresas de producto rusos — híbrido o remoto tras el periodo de prueba + verificación de antecedentes de seguridad. Los vendors de seguridad rusos — híbrido o remoto tras la verificación de antecedentes. Las empresas estatales — híbrido/oficina por los security clearances. Big Tech Product Security — híbrido estándar. Hubs de relocación: Polonia (UE security-friendly) / Alemania / Canadá / Serbia. Inglés para el remoto internacional de AppSec — obligatorio (comunidad de seguridad / OWASP / Defcon / Black Hat / docs de vendors Snyk / Veracode — en inglés).

AppSec Engineer y Product Security Engineer son términos casi sinónimos. Diferencia histórica: AppSec Engineer es el término más amplio (cualquier empresa), centrado en la seguridad en la capa de aplicación. Mismas responsabilidades (revisión de código + modelado de amenazas + diseño seguro + triaje de bug bounty), pero normalmente integrado en el equipo de producto (frente a un equipo AppSec centralizado). En Meta, los roles de Product Security Engineer tienen salario de nivel premium + RSU por la escala (miles de millones de usuarios afectados por una sola decisión de seguridad). Elección de carrera: AppSec Engineer (general) si quieres empresas medianas + un alcance más amplio; Product Security Engineer (específico de Big Tech) si quieres el nivel salarial de Big Tech + impacto en una base masiva de usuarios + un proceso de contratación largo. Bug Bounty Triager / Security Researcher (interno): subespecialidad de Product Security centrada en gestionar los informes de bug bounty entrantes (triaje de severidad + reproducibilidad + corrección + pago de recompensas). A menudo es un rol independiente en empresas con un bug bounty activo (reputación top-100 en HackerOne).

Roadmap: 1) Backend Senior programming — without programming depth there is no AppSec. Minimum one language deeply (Python / Java / Go / .NET / JavaScript) + reading knowledge of 2-3 more. This is the foundation. 2) OWASP Top 10 mastery — read the official OWASP Top 10 (free PDF) + reproduce vulnerabilities in a local lab (DVWA + WebGoat + Juice Shop — all free). "The Web Application Hacker's Handbook" Stuttard / Pinto (canonical AppSec book — must-read). 3) OWASP ASVS (Application Security Verification Standard) — comprehensive checklist, read as reference. 4) Burp Suite mastery — PortSwigger Web Security Academy (free — best practical AppSec training 2026, must-do all labs). Get PortSwigger BSCP (Burp Suite Certified Practitioner) — premium AppSec cert. 5) SAST hands-on — Semgrep mastery (write custom rules in YAML for your own codebase patterns + run on open-source projects). CodeQL learning (GitHub Advanced Security — free for open-source repos). 6) SCA hands-on — Snyk free tier + Dependabot setup for your own GitHub project. Understand CVE / CVSS / EPSS prioritisation. 7) Threat modelling practice — STRIDE methodology + Microsoft Threat Modeling Tool. Apply to a pet project. Book: "Threat Modeling: Designing for Security" Adam Shostack (must-read for serious AppSec). 8) Bug bounty hands-on — register HackerOne / Bugcrowd / Intigriti / Standoff (Russian) account. Start with public programs + low-hanging fruit (CSRF + XSS + SSRF + IDOR on startup targets). Even small bounties build resume. 9) API Security (rising 2024+) — OWASP API Security Top 10 + 42Crunch labs (free). Practice API attacks via Burp + Postman. 10) Cryptography for developers — common pitfalls (alg=none JWT + ECB mode + insecure random + key reuse + length-extension attacks). Book: "Practical Cryptography for Developers" Nakov (free online). 11) Language-specific vulnerability deep dives — pick your chosen language + study its specific vulnerabilities (Java deserialization / Python pickle / Node.js prototype pollution / Go path traversal). 12) Offensive certs (highly recommended for AppSec credibility): OSCP (Offensive Security Certified Professional — broad offensive) → OSWE (Offensive Security Web Expert — AppSec-focused — premium for AppSec roles) → OSCE (advanced exploitation). 13) Pet project portfolio: a) full secure SDLC pipeline (12 stages) for your own project — document as portfolio; b) Semgrep custom rule pack for a specific vulnerability class; c) threat model document for a realistic web application; d) bug bounty reputation (HackerOne ≥50 reputation points via valid findings). International (EN): PortSwigger Web Security Academy (free — best resource 2026, must-do), SANS SEC542 Web App Penetration Testing (premium), "Real-World Bug Hunting" Peter Yaworski (canonical bug bounty book), "Web Application Security" Andrew Hoffman (O'Reilly 2020). Must-read books: "The Web Application Hacker's Handbook" Stuttard / Pinto (canonical despite age 2011), "Threat Modeling" Adam Shostack, "Real-World Cryptography" David Wong. Backend Senior + 6 months focused AppSec training + bug bounty findings → AppSec Junior. Backend Senior + 2-3 years AppSec → Middle. Total 3-5 years for Senior AppSec.

745 active open AppSec Engineer positions. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (Snyk / Veracode / Checkmarx / Synopsys / GitHub Advanced Security / HackerOne / Bugcrowd / Contrast Security — full-remote-friendly) + Big Tech Product Security. Time to close a Senior AppSec — 6-12 weeks (longer than general Security Engineer due to rare-skill combination — programming depth + multiple languages + security mindset + threat modelling experience).

Un Senior AppSec Engineer es responsable del ciclo completo de seguridad de aplicaciones + liderazgo técnico. Programación de nivel backend Senior: un lenguaje a fondo (Python / Java / Go / .NET / TypeScript) + conocimiento de lectura de los demás. Debe entender a fondo las clases de vulnerabilidades propias de cada lenguaje. Dominio de SAST: escritura de reglas personalizadas de Semgrep (a fondo: escribir en YAML reglas de seguridad específicas de la lógica de negocio), consultas CodeQL (análisis semántico: prima en empresas nativas de GitHub), reglas personalizadas de SonarQube. Ajustar la tasa de falsos positivos (mandato típico: <10% de falsos positivos). Dominio de DAST: Burp Suite Professional avanzado (escritura de Burp Extensions + Burp Collaborator para vulnerabilidades ciegas + Burp Intruder avanzado + Macros para escaneo autenticado), automatización de OWASP ZAP en CI. Dominio de SCA: ajuste de la integración de Snyk, priorización de vulnerabilidades en dependencias (CVSS + EPSS + exploitability score + análisis del uso real), gestión del cumplimiento de licencias. Dominio del modelado de amenazas: metodología STRIDE: dirigir sesiones para funcionalidades importantes, PASTA (orientada a procesos) para sistemas críticos, escritura de árboles de ataque, análisis de la superficie de ataque. Dominio del diseño seguro: revisar decisiones de arquitectura que afectan a la seguridad (flujos de autenticación + elección criptográfica + manejo de datos + integraciones con terceros), checklist de revisión de diseño basada en OWASP ASVS. Auth / Authz a fondo: OAuth 2.1 + OIDC + SAML avanzado (PKCE + rotación de tokens + validación de audiencia + RP-Initiated Logout), trampas de JWT a fondo (alg=none + key confusion + diferencias entre JWS / JWE + eliminación de firma), patrones de gestión de sesiones (HTTPOnly + SameSite + tokens CSRF + token binding). Revisión criptográfica: revisión de la configuración TLS (elección de cipher suites + perfect forward secrecy + gestión de certificados), criptografía aplicada (aleatoriedad adecuada + uso simétrico frente a asimétrico + gestión de claves + integración con HSM). Dominio de la seguridad de APIs: OWASP API Security Top 10: broken object level authorization (BOLA), autenticación rota, exposición excesiva de datos, falta de rate limiting, etc. Patrones de integración con Salt / Noname / 42Crunch. Gestión de programas de bug bounty: metodología de triaje (gravedad + reproducibilidad + evaluación de impacto), gestión de la relación con investigadores, comunicación pública, decisiones de pago, coordinación de CVE. Divulgación de vulnerabilidades: diseñar programas de CVD, proceso de asignación de CVE (rol de CNA si aplica), redacción de avisos para clientes. Responsabilidad sobre las métricas de AppSec: automatización del MTTR por gravedad, puntuación de la postura de AppSec, benchmarking de madurez OWASP SAMM / BSIMM, informes ejecutivos al CISO. Marcos de cumplimiento: soporte a auditorías SOC 2 + ISO 27001 + PCI-DSS, recogida automatizada de evidencias. Experiencia en seguridad ofensiva: certificaciones OSCP / OSWE / OSCE muy recomendadas: entender la perspectiva del atacante te hace mejor defensor. Programación de herramientas: Python a fondo para automatización de seguridad propia + desarrollo de linters / escáneres. Diseño de sistemas para la seguridad: diseñar arquitecturas seguras en pizarra, modelar amenazas en las revisiones de diseño de funcionalidades, diseñar arquitecturas de aplicaciones Zero Trust. Soft: redacción de ADRs para decisiones de seguridad, desarrollo de formación en seguridad para ingenieros (talleres + onboarding + club de lectura de AppSec), code review de hallazgos de seguridad, comunicación ejecutiva (informes de vulnerabilidades a la dirección), mentoría a ingenieros de AppSec Middle. Inglés para Senior+ IMPRESCINDIBLE: la comunidad de AppSec, OWASP, Defcon, Black Hat y la documentación de los proveedores están enteramente en inglés. Extra opcional: CVEs publicados (autor de CVE: prima en la contratación de AppSec de frontera), reputación en bug bounty (reputación top-100 en HackerOne), charlas en conferencias (DEF CON AppSec Village / OWASP AppSec / Black Hat), contribuciones open source a herramientas de seguridad (reglas de Semgrep / OWASP ZAP / plugins de Snyk): aumentan notablemente el valor de mercado para la contratación en Product Security de Big Tech + proveedores de seguridad premium.