AppSec: mercado

Vaga

uma vaga aberta que passou pelo filtro de qualidade e lista pelo menos duas tecnologias

Candidato observado

um candidato cujo stack contém esta tecnologia; um agregado — nenhum registro individual sai do perímetro

Candidato compatível

ainda não contado

Janela

vagas abertas no momento em que o snapshot foi gerado

Júnior — entrada típica: 1) Backend Sênior + interesse em segurança (profundidade de programação já presente, precisa de técnicas de segurança), 2) Security Engineer Pleno + interesse em trabalho profundo em código, 3) Bug bounty hunter com histórico (reputação no HackerOne / experiência em programas privados) → AppSec interno. Salto Júnior → Pleno — depois da primeira integração de SDLC seguro de ponta a ponta (SAST + SCA + threat model feito para um produto) + primeira triagem de achado de alta severidade. Pleno → Sênior — propriedade de AppSec multiproduto + gestão de programa de bug bounty + propriedade das métricas de AppSec (mandato típico: reduzir o mean-time-to-remediate de achados Críticos para <7d). Sênior → Staff / Principal / AppSec Architect — padrões de design seguro para toda a organização + arquiteturas de referência de segurança + desenvolvimento de treinamento de product security. Fluxo de carreira: Backend Sênior (3-5 anos) + interesse → AppSec Júnior (1-2 anos) → Pleno (2-3 anos) → Sênior → ou AppSec Architect, Bug Bounty / Security Researcher, especialista API Security, trilha de CISO Product Security, ou consultoria externa de segurança.

Top 5: cloud, ci/cd, python, aws, kubernetes. Domínio de SAST: domínio de Semgrep (em ascensão 2026 — rápido + regras customizadas em YAML + community rule packs — líder para projetos novos), SonarQube / SonarCloud (maduro — híbrido de code quality + security), CodeQL (GitHub Advanced Security — melhor para shops GitHub-native, linguagem de query semântica), Checkmarx + Veracode + Synopsys Coverity (enterprise). Russo: Positive Technologies PT Application Inspector. Domínio de DAST: OWASP ZAP (padrão gratuito — automation-friendly via ZAP API / Docker), Burp Suite Professional (PortSwigger — padrão da indústria para pentesting manual + Burp Collaborator para vulnerabilidades blind + Burp Extensions), Acunetix, StackHawk (DAST moderno em CI), Detectify, Bright Security. Domínio de SCA: Snyk domina 2026 (melhor UX + plugins de IDE + auto-PR fixes), Dependabot (baseline gratuito do GitHub), Renovate (avançado — melhor para monorepos), Sonatype Nexus IQ, FOSSA (license compliance), JFrog Xray. IAST: Contrast Security (líder — runtime instrumentation, agent-based), HCL AppScan, Veracode IAST. API Security (em ascensão 2024+): Salt Security (líder de API discovery + posture), Noname Security, 42Crunch (OpenAPI-first — melhor para a abordagem design-first), Traceable, Wallarm (origem russa + global), Cequence. Conhecimento do framework OWASP API Security Top 10. Ferramentas de Threat Modelling: Microsoft Threat Modeling Tool (desktop gratuito), OWASP Threat Dragon (open-source), IriusRisk (automação enterprise), Tutamen. Metodologia STRIDE (Microsoft — Spoofing / Tampering / Repudiation / Information Disclosure / Denial of Service / Elevation of Privilege) + PASTA (orientado a processo, 7 etapas) + LINDDUN (focado em privacidade) + Attack Trees. Plataformas de Bug Bounty: HackerOne (a maior), Bugcrowd, Intigriti (líder europeu), YesWeHack (francesa), Synack (premium verificado). Russas: Standoff Bug Bounty (PT — a maior na Rússia), Bug Bounty Russia. RASP: Contrast Protect, Imperva RASP, Signal Sciences. WAF: Cloudflare WAF (domina 2026), AWS WAF, Imperva, Fortinet FortiWeb, F5 Advanced WAF, Akamai App & API Protector. Russos: Wallarm + Kaspersky DDoS + Qrator. Ferramentas de crypto review: testssl.sh + Qualys SSL Labs + cryptosense. Auth / Authz: OAuth 2.1 + OIDC + SAML a fundo, pitfalls de JWT a fundo (alg=none + key confusion + signature stripping + expired tokens), session management, OWASP ASVS. Conhecimento de vulnerabilidades específicas de linguagem: Java (Log4Shell + JNDI + deserialization), .NET (BinaryFormatter + ViewState), Python (pickle + YAML + subprocess injection), JavaScript / TypeScript (prototype pollution + XSS context-aware encoding + npm supply chain), Go (path traversal + SSRF + TOCTOU), Rust (auditoria de unsafe blocks), C / C++ (vulnerabilidades de memory safety). Linguagens para tooling: Python principal, JS / TS, além de conhecimento de leitura de todas as linguagens-alvo.

Security Engineer (geral) — cobertura ampla de todos os domínios de segurança. Foco: operação de SIEM + gestão de vulnerabilidades + identidade + rede + compliance. Veja Security Engineer (geral). DevSecOps Engineer — foco em segurança nos pipelines de CI/CD + segurança de IaC + runtime de contêineres + integridade da cadeia de suprimentos. Lado da infraestrutura. Muita programação para automação. Veja DevSecOps. AppSec Engineer (esta página) — foco em segurança do código do produto: triagem de achados de SAST, modelagem de ameaças para funcionalidades, revisão de código com foco em segurança, padrões de design seguro, triagem de bug bounty, treinamento de segurança para desenvolvedores, segurança de APIs. Lado do código (vs lado da infra). Programação mais profunda pela exigência de várias linguagens. Pentester / Ethical Hacker — foco ofensivo — quebrar coisas, encontrar vulnerabilidades por meio de exploração ativa. Veja Penetration Tester / Red Team. Muitas vezes em consultorias ou em bug bounty. Realidade 2026 (mapa de sobreposição): AppSec ↔ DevSecOps: 50% (ambos usam SAST/SCA, mas o foco é diferente). AppSec ↔ Pentester: 40% (ambos pensam de forma ofensiva, mas o Pentester faz exploração ativa + o AppSec é preventivo). AppSec ↔ Security Engineer: 30% (AppSec é profundo em um domínio, o Security Engineer tem amplitude). Transições de carreira: Backend Sênior → AppSec Júnior — 4-8 meses (a profundidade em programação já existe). Pentester / Bug Hunter → AppSec — 2-4 meses (a intuição ofensiva é aproveitada). DevSecOps Sênior → AppSec — 2-4 meses (sobreposição de conhecimento em segurança). AppSec Sênior → Product Security Architect — 2-4 anos. Quais portes de empresa usam qual cargo: Startups pequenas — uma pessoa = tudo (Security Engineer / DevSecOps / AppSec híbrido). Médias (50-500 engenheiros) — cargos separados. Big Tech (engenheiros) — o time de Product Security (sinônimos: AppSec / Product Security) é uma organização separada da Segurança Corporativa.

Pipeline de SDLC seguro de referência 2026 (segurança integrada em cada etapa do ciclo de vida de desenvolvimento de software): 1) Treinamento de segurança (contínuo) — desenvolvedores passam por OWASP Top 10 + workshops de secure coding + treinamento de vulnerabilidades específico da linguagem. Ferramentas: SecureFlag, Codebashing (Checkmarx), Avatao (treinamento interativo). Regra: reciclagem anual + onboarding inclui módulo de segurança de 4+ horas. 2) Modelagem de ameaças (por nova funcionalidade / mudança importante) — sessão com metodologia STRIDE envolvendo produto / engenharia / AppSec. Documente a superfície de ataque + mitigações. Ferramentas: Microsoft Threat Modeling Tool / OWASP Threat Dragon / IriusRisk (automação enterprise). Saída: documento de modelo de ameaças anexado ao design doc. 3) Revisão de design seguro — revisor de AppSec aprova decisões de arquitetura que afetam segurança (fluxos de auth, tratamento de dados, integrações de terceiros, escolhas de cripto). 4) Pre-commit hooks — Git hooks locais com varredura de secrets (GitLeaks / TruffleHog) + plugins de IDE (Semgrep / SonarLint / extensões Snyk sinalizam vulnerabilidades ao vivo). Rejeite commits com secrets vazados. 5) Criação de PR / MR — checagens automatizadas: SAST (Semgrep + CodeQL + SonarQube), SCA (Snyk + Dependabot — sinaliza vulnerabilidades de dependências + auto-PR de correção), segurança de IaC (Checkov), varredura de secrets. O PR é bloqueado em achados críticos. 6) Revisão de código — PRs sinalizados por segurança automaticamente marcam a equipe de AppSec. Revisão manual de segurança para funcionalidades que tocam auth / cripto / tratamento de dados. 7) Merge para a main — suíte completa de varredura de segurança no CI: SAST mais profundo (execução mais longa), varreduras DAST em ambiente de staging (OWASP ZAP / StackHawk contra API + UI de staging), IAST (Contrast Security em runtime se instalado), varredura de conformidade de licenças (FOSSA / Snyk License Compliance). 8) Pentest pré-release (para funcionalidades importantes) — equipe interna de AppSec ou engajamento de pentest externo. Pentest padrão = engajamento de 5-15 dias. 9) Programa de bug bounty — programa público ou privado no HackerOne / Bugcrowd / Intigriti / Standoff (russo). Faça a triagem dos relatos recebidos — SLA típico: resposta inicial 24h, validação 5d, correção 30-90d dependendo da severidade. 10) Pós-release contínuo — monitoramento em runtime (RASP — Contrast Protect), monitoramento de segurança de API (Salt / Noname / 42Crunch), análise de logs de WAF (Cloudflare / AWS WAF), dashboard de métricas de segurança (tempo médio de remediação por severidade, pontuação de postura de AppSec, % de funcionalidades que passaram por revisão de design seguro). Transversais: Métricas de AppSec acompanhadas: MTTR (tempo médio de remediação) de vulnerabilidades, % de achados de alta severidade fechados dentro do SLA, dívida de segurança ao longo do tempo, pontuação de maturidade OWASP SAMM / BSIMM, densidade de vulnerabilidades por KLOC. Relatórios de conformidade: coleta automatizada de evidências para auditorias SOC 2 / ISO 27001 / PCI-DSS (Drata / Vanta / Secureframe). O AppSec Sênior é dono de todo esse pipeline + ajuste das taxas de falsos positivos + equilíbrio entre segurança e velocidade de desenvolvimento.

Sim, 45% das vagas de AppSec Engineer são totalmente remotas ou híbridas. O trabalho de AppSec é principalmente code review + ferramentas de segurança SaaS + colaboração remota com equipes de engenharia. Empresas de outsourcing — quase sempre remotas em projetos de AppSec dos EUA. Bancos russos + empresas de produto — híbrido ou remoto após o período de experiência + verificação de antecedentes de segurança. Vendors russos de segurança — híbrido ou remoto após verificação de antecedentes. Empresas estatais — híbrido/presencial por causa de security clearances. Big Tech Product Security — híbrido padrão. Hubs de relocação: Polônia (UE security-friendly) / Alemanha / Canadá / Sérvia. Inglês para remoto internacional de AppSec — obrigatório (comunidade de segurança / OWASP / Defcon / Black Hat / docs de vendors Snyk / Veracode — em inglês).

AppSec Engineer e Product Security Engineer são termos quase sinônimos. Diferença histórica: AppSec Engineer é o termo mais amplo (qualquer empresa), focado em segurança na camada de aplicação. Mesmas responsabilidades (code review + threat modelling + design seguro + triagem de bug bounty), mas tipicamente inserido na equipe de produto (vs uma equipe de AppSec centralizada). Na Meta, os cargos de Product Security Engineer têm salário de nível premium + RSU devido à escala (bilhões de usuários afetados por uma única decisão de segurança). Escolha de carreira: AppSec Engineer (geral) se você quer empresas de médio porte + escopo mais amplo, Product Security Engineer (específico de Big Tech) se você quer o nível salarial de Big Tech + impacto sobre uma base massiva de usuários + um funil de contratação longo. Bug Bounty Triager / Security Researcher (interno) — subespecialidade de Product Security focada em gerenciar os relatórios de bug bounty recebidos (triagem de severidade + reprodutibilidade + correção + pagamento de recompensas). Muitas vezes é um cargo independente em empresas com bug bounty ativo (reputação top-100 no HackerOne).

Roadmap: 1) Programação Backend Senior — sem profundidade em programação não há AppSec. No mínimo uma linguagem a fundo (Python / Java / Go / .NET / JavaScript) + conhecimento de leitura de mais 2-3. Esta é a base. 2) Domínio do OWASP Top 10 — leia o OWASP Top 10 oficial (PDF gratuito) + reproduza vulnerabilidades em um lab local (DVWA + WebGoat + Juice Shop — todos gratuitos). "The Web Application Hacker's Handbook" Stuttard / Pinto (livro canônico de AppSec — leitura obrigatória). 3) OWASP ASVS (Application Security Verification Standard) — checklist abrangente, leia como referência. 4) Domínio do Burp Suite — PortSwigger Web Security Academy (gratuito — melhor treinamento prático de AppSec 2026, faça todos os labs). Obtenha o PortSwigger BSCP (Burp Suite Certified Practitioner) — certificação premium de AppSec. 5) SAST na prática — domínio do Semgrep (escreva regras customizadas em YAML para os padrões do seu próprio codebase + rode em projetos open-source). Aprendizado de CodeQL (GitHub Advanced Security — gratuito para repos open-source). 6) SCA na prática — Snyk free tier + configuração do Dependabot para o seu próprio projeto GitHub. Entenda a priorização CVE / CVSS / EPSS. 7) Prática de modelagem de ameaças — metodologia STRIDE + Microsoft Threat Modeling Tool. Aplique a um pet project. Livro: "Threat Modeling: Designing for Security" Adam Shostack (leitura obrigatória para AppSec sério). 8) Bug bounty na prática — registre conta no HackerOne / Bugcrowd / Intigriti / Standoff (russo). Comece com programas públicos + low-hanging fruit (CSRF + XSS + SSRF + IDOR em alvos de startups). Até bounties pequenos constroem currículo. 9) API Security (em alta 2024+) — OWASP API Security Top 10 + labs do 42Crunch (gratuitos). Pratique ataques a API via Burp + Postman. 10) Criptografia para desenvolvedores — armadilhas comuns (JWT alg=none + modo ECB + random inseguro + reuso de chave + length-extension attacks). Livro: "Practical Cryptography for Developers" Nakov (gratuito online). 11) Aprofundamentos de vulnerabilidades específicas da linguagem — escolha a linguagem + estude suas vulnerabilidades específicas (desserialização em Java / pickle em Python / prototype pollution em Node.js / path traversal em Go). 12) Certificações ofensivas (altamente recomendadas para credibilidade em AppSec): OSCP (Offensive Security Certified Professional — ofensivo amplo) → OSWE (Offensive Security Web Expert — focado em AppSec — premium para vagas de AppSec) → OSCE (exploração avançada). 13) Portfólio de pet projects: a) pipeline completo de SDLC seguro (12 etapas) para o seu próprio projeto — documente como portfólio; b) pacote de regras customizadas do Semgrep para uma classe específica de vulnerabilidade; c) documento de modelo de ameaças para uma aplicação web realista; d) reputação em bug bounty (HackerOne ≥50 pontos de reputação via achados válidos). Internacional (EN): PortSwigger Web Security Academy (gratuito — melhor recurso 2026, obrigatório), SANS SEC542 Web App Penetration Testing (premium), "Real-World Bug Hunting" Peter Yaworski (livro canônico de bug bounty), "Web Application Security" Andrew Hoffman (O'Reilly 2020). Livros de leitura obrigatória: "The Web Application Hacker's Handbook" Stuttard / Pinto (canônico apesar da idade 2011), "Threat Modeling" Adam Shostack, "Real-World Cryptography" David Wong. Backend Senior + 6 meses de treinamento focado em AppSec + achados de bug bounty → AppSec Junior. Backend Senior + 2-3 anos de AppSec → Middle. Total de 3-5 anos para AppSec Senior.

745 active open AppSec Engineer positions. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (Snyk / Veracode / Checkmarx / Synopsys / GitHub Advanced Security / HackerOne / Bugcrowd / Contrast Security — full-remote-friendly) + Big Tech Product Security. Time to close a Senior AppSec — 6-12 weeks (longer than general Security Engineer due to rare-skill combination — programming depth + multiple languages + security mindset + threat modelling experience).

Um AppSec Engineer Sênior é dono do ciclo completo de segurança de aplicações + liderança técnica. Programação no nível de Backend Sênior: uma linguagem a fundo (Python / Java / Go / .NET / TypeScript) + conhecimento de leitura das outras. É preciso entender a fundo as classes de vulnerabilidades específicas de cada linguagem. Domínio de SAST: criação de regras personalizadas no Semgrep (a fundo — escrever regras de segurança específicas da lógica de negócio em YAML), consultas CodeQL (análise semântica — prêmio em empresas nativas do GitHub), regras personalizadas no SonarQube. Ajustar as taxas de falsos positivos (mandato típico: taxa de falsos positivos <10%). Domínio de DAST: Burp Suite Professional avançado (criação de Burp Extensions + Burp Collaborator para vulnerabilidades cegas + Burp Intruder avançado + Macros para varredura autenticada), automação do OWASP ZAP na CI. Domínio de SCA: ajuste da integração com Snyk, priorização de vulnerabilidades em dependências (CVSS + EPSS + pontuação de explorabilidade + análise do uso real), tratamento de conformidade de licenças. Domínio de modelagem de ameaças: metodologia STRIDE — conduzir sessões para funcionalidades importantes, PASTA (orientada a processos) para sistemas críticos, criação de árvores de ataque, análise da superfície de ataque. Domínio de design seguro: revisar decisões de arquitetura que afetam a segurança (fluxos de autenticação + escolhas de criptografia + tratamento de dados + integrações com terceiros), checklist de revisão de design baseado no OWASP ASVS. Autenticação / autorização a fundo: OAuth 2.1 + OIDC + SAML avançados (PKCE + rotação de tokens + validação de audience + RP-Initiated Logout), armadilhas de JWT a fundo (alg=none + confusão de chaves + diferenças entre JWS / JWE + remoção de assinatura), padrões de gestão de sessão (HTTPOnly + SameSite + tokens CSRF + token binding). Revisão de criptografia: revisão da configuração de TLS (escolha de cipher suites + perfect forward secrecy + gestão de certificados), criptografia aplicada (aleatoriedade correta + uso de simétrica vs assimétrica + gestão de chaves + integração com HSM). Domínio de segurança de APIs: OWASP API Security Top 10 — broken object level authorization (BOLA), autenticação quebrada, exposição excessiva de dados, falta de rate limiting etc. Padrões de integração com Salt / Noname / 42Crunch. Gestão de programa de bug bounty: metodologia de triagem (severidade + reprodutibilidade + avaliação de impacto), gestão do relacionamento com pesquisadores, comunicação pública, decisões de pagamento, coordenação de CVEs. Divulgação de vulnerabilidades: projetar programas de CVD, processo de atribuição de CVE (papel de CNA, se aplicável), redação de comunicados para clientes. Responsabilidade pelas métricas de AppSec: automação do MTTR por severidade, pontuação da postura de AppSec, benchmarking de maturidade OWASP SAMM / BSIMM, relatórios executivos para o CISO. Frameworks de compliance: suporte a auditorias SOC 2 + ISO 27001 + PCI-DSS, coleta automatizada de evidências. Exposição à segurança ofensiva: certificações OSCP / OSWE / OSCE fortemente recomendadas — entender a perspectiva do atacante torna o defensor melhor. Programação para ferramentas: Python a fundo para automação de segurança personalizada + desenvolvimento de linters / scanners. System design para segurança: projetar arquiteturas seguras no quadro branco, modelar ameaças em revisões de design de funcionalidades, projetar arquitetura de aplicações Zero Trust. Soft skills: escrita de ADRs para decisões de segurança, desenvolvimento de treinamentos de segurança para engenheiros (workshops + onboarding + clube do livro de AppSec), code review de achados de segurança, comunicação executiva (relatórios de vulnerabilidades para a liderança), mentoria de AppSec engineers Pleno. Inglês para Sênior+ OBRIGATÓRIO — comunidade de AppSec / OWASP / Defcon / Black Hat / documentação de fornecedores são inteiramente em inglês. Bônus opcional: CVEs publicados (autor de CVE — prêmio na contratação de AppSec de ponta), reputação em bug bounty (reputação top-100 no HackerOne), palestras em conferências (DEF CON AppSec Village / OWASP AppSec / Black Hat), contribuições open-source para ferramentas de segurança (regras Semgrep / OWASP ZAP / plugins Snyk) — aumentam muito o valor de mercado para Product Security das Big Techs + contratação em fornecedores de segurança premium.