AppSec : marché

Offre

une offre ouverte ayant passé le contrôle qualité et citant au moins deux technologies

Candidat observé

un candidat dont la stack contient cette technologie ; un agrégat — aucune fiche individuelle ne sort du périmètre

Candidat correspondant

pas encore compté

Fenêtre

offres ouvertes au moment de la création de l'instantané

Junior — entrée typique : 1) Backend Senior + intérêt pour la sécurité (la profondeur en programmation est déjà là, il faut les techniques de sécurité), 2) Ingénieur Sécurité Middle + intérêt pour le travail en profondeur dans le code, 3) chasseur de bug bounty avec un historique (réputation HackerOne / expérience des programmes privés) → AppSec en interne. Le saut Junior → Middle — après la première intégration de bout en bout d'un SDLC sécurisé (SAST + SCA + threat model réalisés pour un produit) + le premier tri d'une vulnérabilité de haute sévérité. Middle → Senior — responsabilité AppSec multi-produits + gestion du programme de bug bounty + responsabilité des métriques AppSec (mandat typique : réduire le délai moyen de correction des vulnérabilités critiques à <7d). Senior → Staff / Principal / Architecte AppSec — patterns de conception sécurisée à l'échelle de l'organisation + architectures de référence de sécurité + développement de formations à la sécurité produit. Parcours de carrière : Backend Senior (3-5 ans) + intérêt → AppSec Junior (1-2 ans) → Middle (2-3 ans) → Senior → soit Architecte AppSec, soit Bug Bounty / Security Researcher, soit spécialiste sécurité des API, soit filière RSSI sécurité produit, soit conseil externe en sécurité.

Top 5: cloud, ci/cd, python, aws, kubernetes. SAST mastery: Semgrep mastery (rising 2026 — fast + custom rules in YAML + community rule packs — leader for new projects), SonarQube / SonarCloud (mature — code quality + security hybrid), CodeQL (GitHub Advanced Security — best for GitHub-native shops, semantic query language), Checkmarx + Veracode + Synopsys Coverity (enterprise). Russian: Positive Technologies PT Application Inspector. DAST mastery: OWASP ZAP (free standard — automation-friendly via ZAP API / Docker), Burp Suite Professional (PortSwigger — industry standard for manual pentesting + Burp Collaborator for blind vulnerabilities + Burp Extensions), Acunetix, StackHawk (modern DAST in CI), Detectify, Bright Security. SCA mastery: Snyk dominates 2026 (best UX + IDE plugins + auto-PR fixes), Dependabot (GitHub free baseline), Renovate (advanced — better for monorepos), Sonatype Nexus IQ, FOSSA (license compliance), JFrog Xray. IAST: Contrast Security (leader — runtime instrumentation, agent-based), HCL AppScan, Veracode IAST. API Security (rising 2024+): Salt Security (API discovery + posture leader), Noname Security, 42Crunch (OpenAPI-first — best for design-first approach), Traceable, Wallarm (Russian-origin + global), Cequence. OWASP API Security Top 10 framework knowledge. Threat Modelling tools: Microsoft Threat Modeling Tool (free desktop), OWASP Threat Dragon (open-source), IriusRisk (enterprise automation), Tutamen. STRIDE methodology (Microsoft — Spoofing / Tampering / Repudiation / Information Disclosure / Denial of Service / Elevation of Privilege) + PASTA (process-driven 7 stages) + LINDDUN (privacy-focused) + Attack Trees. Bug Bounty platforms: HackerOne (largest), Bugcrowd, Intigriti (European leader), YesWeHack (French), Synack (vetted premium). Russian: Standoff Bug Bounty (PT — largest in Russia), Bug Bounty Russia. RASP: Contrast Protect, Imperva RASP, Signal Sciences. WAF: Cloudflare WAF (dominates 2026), AWS WAF, Imperva, Fortinet FortiWeb, F5 Advanced WAF, Akamai App & API Protector. Russian: Wallarm + Kaspersky DDoS + Qrator. Crypto review tools: testssl.sh + Qualys SSL Labs + cryptosense. Auth / Authz: OAuth 2.1 + OIDC + SAML deep, JWT pitfalls deep (alg=none + key confusion + signature stripping + expired tokens), session management, OWASP ASVS. Language-specific vulnerability knowledge: Java (Log4Shell + JNDI + deserialization), .NET (BinaryFormatter + ViewState), Python (pickle + YAML + subprocess injection), JavaScript / TypeScript (prototype pollution + XSS context-aware encoding + npm supply chain), Go (path traversal + SSRF + TOCTOU), Rust (unsafe blocks audit), C / C++ (memory safety vulnerabilities). Languages for tooling: Python primary, JS / TS, plus reading knowledge of all target languages.

Ingénieur Sécurité (général) — couverture large de tous les domaines de la sécurité. Centré sur : exploitation du SIEM + gestion des vulnérabilités + identité + réseau + conformité. Voir Ingénieur Sécurité (général). Ingénieur DevSecOps — centré sur la sécurité dans les pipelines CI/CD + la sécurité IaC + l'exécution des conteneurs + l'intégrité de la chaîne d'approvisionnement. Côté infrastructure. Beaucoup de programmation pour l'automatisation. Voir DevSecOps. Ingénieur AppSec (cette page) — centré sur la sécurité du code produit : tri des résultats SAST, modélisation des menaces pour les fonctionnalités, revue de code sécurité, patterns de conception sécurisée, tri des signalements de bug bounty, formation sécurité des développeurs, sécurité des API. Côté code (vs côté infra). Programmation plus poussée du fait de l'exigence de plusieurs langages. Pentesteur / hacker éthique — centré sur l'offensif — casser les choses, trouver des vulnérabilités par l'exploitation active. Voir Pentesteur / Red Team. Souvent en cabinet de conseil ou en bug bounty. Réalité 2026 (carte des recoupements) : AppSec ↔ DevSecOps : 50 % (les deux utilisent SAST/SCA mais l'orientation diffère). AppSec ↔ Pentesteur : 40 % (les deux pensent en attaquant, mais le pentesteur exploite activement + l'AppSec est préventive). AppSec ↔ Ingénieur Sécurité : 30 % (l'AppSec en profondeur sur un domaine, l'Ingénieur Sécurité en largeur). Reconversions : Backend Senior → AppSec Junior — 4-8 mois (la profondeur en programmation est déjà là). Pentesteur / chasseur de bugs → AppSec — 2-4 mois (l'intuition offensive se transpose). DevSecOps Senior → AppSec — 2-4 mois (recoupement des connaissances en sécurité). AppSec Senior → Architecte Sécurité produit — 2-4 ans. Quelles tailles d'entreprise utilisent quel rôle : Petites startups — une seule personne = tout (hybride Ingénieur Sécurité / DevSecOps / AppSec). Moyennes (50-500 ingénieurs) — rôles séparés. Big Tech (ingénieurs) — l'équipe Product Security (synonymes : AppSec / Product Security) est une organisation distincte de la sécurité corporate.

Pipeline SDLC sécurisé de référence 2026 (la sécurité intégrée à chaque étape du cycle de vie du développement logiciel) : 1) Formation à la sécurité (continue) — les développeurs suivent l'OWASP Top 10 + des ateliers de codage sécurisé + une formation aux vulnérabilités propres à leur langage. Outils : SecureFlag, Codebashing (Checkmarx), Avatao (formation interactive). Obligation : remise à niveau annuelle + l'intégration comprend un module sécurité de 4+ heures. 2) Threat modeling (pour chaque nouvelle fonctionnalité / changement majeur) — séance selon la méthode STRIDE avec le produit / l'ingénierie / l'AppSec. Documenter la surface d'attaque + les mesures d'atténuation. Outils : Microsoft Threat Modeling Tool / OWASP Threat Dragon / IriusRisk (automatisation en entreprise). Livrable : document de modèle de menaces joint au document de conception. 3) Revue de conception sécurisée — un relecteur AppSec valide les décisions d'architecture touchant à la sécurité (flux d'authentification, traitement des données, intégrations tierces, choix cryptographiques). 4) Hooks pre-commit — hooks Git locaux avec détection de secrets (GitLeaks / TruffleHog) + plugins d'IDE (les extensions Semgrep / SonarLint / Snyk signalent les vulnérabilités en direct). Rejeter les commits contenant des secrets divulgués. 5) Création de PR / MR — vérifications automatiques : SAST (Semgrep + CodeQL + SonarQube), SCA (Snyk + Dependabot — signalent les vulnérabilités des dépendances + PR automatiques de mise à jour corrective), sécurité de l'IaC (Checkov), détection de secrets. La PR est bloquée en cas de constat critique. 6) Revue de code — les PR signalées pour la sécurité notifient automatiquement l'équipe AppSec. Revue de sécurité manuelle du code pour les fonctionnalités touchant à l'authentification / la cryptographie / le traitement des données. 7) Fusion dans main — suite complète de scans de sécurité en CI : SAST plus approfondi (plus long), scans DAST de l'environnement de staging (OWASP ZAP / StackHawk contre l'API + l'UI de staging), IAST (Contrast Security à l'exécution s'il est installé), scan de conformité des licences (FOSSA / Snyk License Compliance). 8) Pentest avant mise en production (pour les fonctionnalités majeures) — équipe AppSec interne ou mission de pentest externe. Pentest standard = mission de 5-15 jours. 9) Programme de bug bounty — programme public ou privé sur HackerOne / Bugcrowd / Intigriti / Standoff (russe). Tri des rapports entrants — SLA typique : première réponse 24 h, validation 5 j, correction 30-90 j selon la sévérité. 10) Continu après la mise en production — supervision à l'exécution (RASP — Contrast Protect), supervision de la sécurité des API (Salt / Noname / 42Crunch), analyse des journaux du WAF (Cloudflare / AWS WAF), tableau de bord des métriques de sécurité (délai moyen de remédiation par sévérité, score de posture AppSec, % de fonctionnalités passées en revue de conception sécurisée). Transversal : métriques AppSec suivies : MTTR (délai moyen de remédiation) des vulnérabilités, % de constats de haute sévérité clos dans le SLA, dette de sécurité dans le temps, score de maturité OWASP SAMM / BSIMM, densité de vulnérabilités par KLOC. Reporting de conformité : collecte automatisée des preuves pour les audits SOC 2 / ISO 27001 / PCI-DSS (Drata / Vanta / Secureframe). L'AppSec Senior possède tout ce pipeline + ajuste les taux de faux positifs + équilibre sécurité et vélocité des développeurs.

Oui, 45 % des offres d'ingénieur AppSec sont entièrement à distance ou hybrides. Le travail AppSec consiste surtout en revue de code + outils de sécurité SaaS + collaboration à distance avec les équipes d'ingénierie. Les sociétés d'outsourcing — presque toujours à distance sur des projets AppSec américains. Banques russes + entreprises produit — hybride ou à distance après la période d'essai + vérification des antécédents de sécurité. Éditeurs de sécurité russes — hybride ou à distance après vérification des antécédents. Entreprises publiques — hybride/bureau en raison des habilitations de sécurité. Product Security des Big Tech — hybride standard. Pôles d'expatriation : Pologne (UE favorable à la sécurité) / Allemagne / Canada / Serbie. L'anglais pour le télétravail AppSec international — indispensable (communauté sécurité / OWASP / Defcon / Black Hat / documentation des éditeurs Snyk / Veracode — anglophones).

AppSec Engineer et Product Security Engineer sont des termes presque synonymes. Différence historique : AppSec Engineer est le terme le plus large (toute entreprise), centré sur la sécurité de la couche applicative. Mêmes responsabilités (revue de code + modélisation des menaces + conception sécurisée + tri du bug bounty), mais généralement intégré à l'équipe produit (contre une équipe AppSec centralisée). Chez Meta, les postes de Product Security Engineer offrent un salaire de premier rang + RSU en raison de l'échelle (des milliards d'utilisateurs concernés par une seule décision de sécurité). Choix de carrière : AppSec Engineer (général) si vous visez des entreprises de taille moyenne + un périmètre plus large, Product Security Engineer (spécifique Big Tech) si vous visez les salaires de la Big Tech + un impact sur une base d'utilisateurs massive + un long processus de recrutement. Bug Bounty Triager / Security Researcher (interne) — sous-spécialité de la Product Security centrée sur la gestion des rapports de bug bounty entrants (tri par gravité + reproductibilité + correction + paiement des primes). Souvent un poste à part entière dans les entreprises ayant un bug bounty actif (top-100 de réputation HackerOne).

Feuille de route : 1) Programmation de niveau Backend Senior — sans profondeur en programmation, il n'y a pas d'AppSec. Au minimum un langage en profondeur (Python / Java / Go / .NET / JavaScript) + savoir lire 2-3 autres. C'est le socle. 2) Maîtrise de l'OWASP Top 10 — lire l'OWASP Top 10 officiel (PDF gratuit) + reproduire les vulnérabilités dans un laboratoire local (DVWA + WebGoat + Juice Shop — tous gratuits). « The Web Application Hacker's Handbook » de Stuttard / Pinto (le livre canonique de l'AppSec — à lire absolument). 3) OWASP ASVS (Application Security Verification Standard) — liste de contrôle complète, à lire comme référence. 4) Maîtrise de Burp Suite — PortSwigger Web Security Academy (gratuit — la meilleure formation pratique à l'AppSec 2026, faire tous les labs). Obtenir la PortSwigger BSCP (Burp Suite Certified Practitioner) — certification AppSec premium. 5) Pratique du SAST — maîtrise de Semgrep (écrire des règles personnalisées en YAML pour les patterns de votre propre code + les lancer sur des projets open source). Apprentissage de CodeQL (GitHub Advanced Security — gratuit pour les dépôts open source). 6) Pratique du SCA — offre gratuite de Snyk + configuration de Dependabot pour votre propre projet GitHub. Comprendre la priorisation CVE / CVSS / EPSS. 7) Pratique du threat modeling — méthode STRIDE + Microsoft Threat Modeling Tool. L'appliquer à un projet personnel. Livre : « Threat Modeling: Designing for Security » d'Adam Shostack (à lire absolument pour une AppSec sérieuse). 8) Pratique du bug bounty — créer un compte sur HackerOne / Bugcrowd / Intigriti / Standoff (russe). Commencer par les programmes publics + les cibles faciles (CSRF + XSS + SSRF + IDOR sur des cibles de startups). Même de petites primes renforcent le CV. 9) Sécurité des API (en croissance 2024+) — OWASP API Security Top 10 + labs 42Crunch (gratuits). S'entraîner aux attaques d'API via Burp + Postman. 10) Cryptographie pour les développeurs — pièges courants (JWT alg=none + mode ECB + aléatoire non sûr + réutilisation de clés + attaques par extension de longueur). Livre : « Practical Cryptography for Developers » de Nakov (gratuit en ligne). 11) Approfondissement des vulnérabilités propres à un langage — prendre votre langage + étudier ses vulnérabilités spécifiques (désérialisation Java / pickle Python / prototype pollution Node.js / path traversal Go). 12) Certifications offensives (fortement recommandées pour la crédibilité en AppSec) : OSCP (Offensive Security Certified Professional — offensive généraliste) → OSWE (Offensive Security Web Expert — orientée AppSec — premium pour les postes AppSec) → OSCE (exploitation avancée). 13) Portfolio de projets personnels : a) pipeline SDLC sécurisé complet (12 étapes) pour votre propre projet — à documenter comme portfolio ; b) pack de règles Semgrep personnalisées pour une classe de vulnérabilités ; c) document de modèle de menaces pour une application web réaliste ; d) réputation en bug bounty (HackerOne ≥50 points de réputation grâce à des constats valides). International (EN) : PortSwigger Web Security Academy (gratuit — la meilleure ressource 2026, indispensable), SANS SEC542 Web App Penetration Testing (premium), « Real-World Bug Hunting » de Peter Yaworski (le livre canonique du bug bounty), « Web Application Security » d'Andrew Hoffman (O'Reilly 2020). Livres à lire absolument : « The Web Application Hacker's Handbook » de Stuttard / Pinto (canonique malgré son âge 2011), « Threat Modeling » d'Adam Shostack, « Real-World Cryptography » de David Wong. Backend Senior + 6 mois de formation AppSec ciblée + constats en bug bounty → AppSec Junior. Backend Senior + 2-3 ans d'AppSec → Middle. Au total 3-5 ans pour l'AppSec Senior.

745 active open AppSec Engineer positions. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (Snyk / Veracode / Checkmarx / Synopsys / GitHub Advanced Security / HackerOne / Bugcrowd / Contrast Security — full-remote-friendly) + Big Tech Product Security. Time to close a Senior AppSec — 6-12 weeks (longer than general Security Engineer due to rare-skill combination — programming depth + multiple languages + security mindset + threat modelling experience).

Un Ingénieur AppSec Senior prend en charge le cycle complet de la sécurité applicative + le leadership technique. Programmation de niveau Backend Senior : un langage en profondeur (Python / Java / Go / .NET / TypeScript) + capacité à lire les autres. Doit comprendre en profondeur les classes de vulnérabilités propres à chaque langage. Maîtrise du SAST : écriture de règles Semgrep personnalisées (en profondeur — écrire en YAML des règles de sécurité propres à la logique métier), requêtes CodeQL (analyse sémantique — prime dans les équipes GitHub-native), règles SonarQube personnalisées. Réglage des taux de faux positifs (mission typique : taux de faux positifs <10 %). Maîtrise du DAST : Burp Suite Professional avancé (écriture d'extensions Burp + Burp Collaborator pour les vulnérabilités aveugles + Burp Intruder avancé + Macros pour l'analyse authentifiée), automatisation d'OWASP ZAP dans la CI. Maîtrise du SCA : réglage de l'intégration Snyk, priorisation des vulnérabilités des dépendances (CVSS + EPSS + score d'exploitabilité + analyse de l'usage réel), gestion de la conformité des licences. Maîtrise de la modélisation des menaces : méthodologie STRIDE — animer les sessions pour les fonctionnalités majeures, PASTA (orientée processus) pour les systèmes critiques, écriture d'arbres d'attaque, analyse de la surface d'attaque. Maîtrise de la conception sécurisée : revue des décisions d'architecture affectant la sécurité (flux d'authentification + choix cryptographiques + traitement des données + intégrations tierces), checklist de revue de conception fondée sur l'OWASP ASVS. Authentification / autorisation en profondeur : OAuth 2.1 + OIDC + SAML avancés (PKCE + rotation des tokens + validation de l'audience + RP-Initiated Logout), pièges des JWT en profondeur (alg=none + confusion de clés + différences JWS / JWE + suppression de signature), patterns de gestion de session (HTTPOnly + SameSite + tokens CSRF + token binding). Revue cryptographique : revue de la configuration TLS (choix des suites de chiffrement + perfect forward secrecy + gestion des certificats), cryptographie appliquée (aléa correct + usage symétrique vs asymétrique + gestion des clés + intégration HSM). Maîtrise de la sécurité des API : OWASP API Security Top 10 — broken object level authorization (BOLA), authentification défaillante, exposition excessive de données, absence de rate limiting, etc. Patterns d'intégration Salt / Noname / 42Crunch. Gestion de programme de bug bounty : méthodologie de tri (sévérité + reproductibilité + évaluation de l'impact), gestion de la relation avec les chercheurs, communication publique, décisions de paiement, coordination des CVE. Divulgation des vulnérabilités : conception de programmes CVD, processus d'attribution des CVE (rôle de CNA le cas échéant), rédaction d'avis de sécurité pour les clients. Responsabilité des métriques AppSec : automatisation du MTTR par sévérité, notation de la posture AppSec, benchmark de maturité OWASP SAMM / BSIMM, reporting à la direction auprès du RSSI. Cadres de conformité : accompagnement des audits SOC 2 + ISO 27001 + PCI-DSS, collecte automatisée des preuves. Expérience de la sécurité offensive : certifications OSCP / OSWE / OSCE vivement recommandées — comprendre le point de vue de l'attaquant fait un meilleur défenseur. Programmation d'outillage : Python en profondeur pour l'automatisation de sécurité sur mesure + développement de linters / scanners. Conception de systèmes sécurisés : concevoir au tableau blanc des architectures sécurisées, modéliser les menaces lors des revues de conception des fonctionnalités, concevoir une architecture applicative Zero Trust. Soft skills : rédaction d'ADR pour les décisions de sécurité, création de formations sécurité pour les ingénieurs (ateliers + onboarding + club de lecture AppSec), revue de code des résultats de sécurité, communication avec la direction (rapports de vulnérabilités à la direction), mentorat d'ingénieurs AppSec Middle. Anglais INDISPENSABLE pour Senior+ — la communauté AppSec / OWASP / Defcon / Black Hat / la documentation des éditeurs sont entièrement anglophones. Bonus facultatif : CVE publiées (propriétaire de CVE — prime pour le recrutement AppSec de pointe), réputation en bug bounty (réputation top-100 sur HackerOne), interventions en conférence (DEF CON AppSec Village / OWASP AppSec / Black Hat), contributions open source à des outils de sécurité (règles Semgrep / OWASP ZAP / plugins Snyk) — augmentent fortement la valeur sur le marché pour le recrutement Product Security des Big Tech + chez les éditeurs de sécurité premium.