Senior DevSecOps Engineer

Mainloop; Barcelona; On-site; EUR 90,000 - 120,000; Full time

Job summary

Mainloop, société d’ingénierie à Barcelone, recherche un ingénieur DevSecOps senior pour écrire et posséder la plateforme de livraison dès le premier jour. Vous mettrez en place l’infrastructure as code, les pipelines et le secret management, avec une exigence élevée de sécurité et d’observabilité.

Vous serez le premier ingénieur dédié, chargé de définir l’architecture, les standards et les processus de déploiement sur des environnements variés, et d’assurer une restauration complète et

Qualifications

• Expérience senior en DevSecOps, capable de concevoir une plateforme de zéro pour la livraison et sa sécurité.
• Maîtrise des infrastructures as code et des pipelines CI/CD intégrés avec la sécurité des secrets.
• Connaissance avancée de Kubernetes, observabilité, sauvegardes et reprise après incident.

Responsibilities

• Écrire la plateforme de livraison depuis le code, avec IaC et sécurité intégrée dès le premier commit.
• Rendre le déploiement autonome et reproductible par dépôt versionné.
• Gérer les secrets et les accès, éviter la fuite d’identifiants des agents.
• Intégrer la sécurité dans le pipeline: analyses statiques, scan d’images et de dépendances.
• Prouver et documenter les procédures de restauration et de rollback.
• Concevoir le chemin de mise en production avec tests automatisés et préviews par branche.

Skills

DevSecOps

IaC

CI/CD

Security in pipeline

Kubernetes

Observability

Backups/Recovery

Cloud/Infra design

Tools

Kubernetes

Job description

Construisez toute la plateforme de livraison d'une société depuis le premier commit, avec la sécurité dedans dès ce même commit, prenez-la entièrement en charge, et ne portez jamais de bip. Les deux moitiés de cette phrase sont délibérées.

• L'infrastructure as code, à partir de zéro
• La CI/CD et le chemin de mise en production
• La sécurité dans le pipeline, et les secrets — y compris pour les agents
• L'observabilité, les sauvegardes et une restauration testée

C'est un poste senior et ce n'est pas un poste que nous pouvons pourvoir en junior — vous êtes le premier, pour un temps le seul, et la plateforme sur laquelle tous les autres construisent est celle que vous posez.

Mainloop est une société d'ingénierie à Barcelone. Nous détenons ce que nous construisons et nous ne rendons de comptes qu'à nous-mêmes. Vous avez la partie intéressante d'une jeune société, avec un vrai client et de vrais produits dès le premier jour.

Ce que nous construisons, c'est le logiciel qui automatise le travail des services professionnels — dans une quinzaine de pays, pour des entreprises qui se noient dans les processus. Nous construisons ces produits et nous les exploitons. Cette seconde moitié est la raison d'être de ce poste, et ce n'est pas une formalité : une équipe qui décide comment son logiciel est construit devrait décider comment il est livré.

Vous êtes la personne qui met fin à cela. Vous êtes notre premier ingénieur DevSecOps, et pour un temps le seul.

En quoi consiste vraiment le poste

Vous n'héritez pas d'une plateforme. Vous l'écrivez.

Il n'y a aujourd'hui aucune infrastructure as code dans notre parc — pas une ligne. Votre premier travail est de rendre cela définitivement faux : tous les environnements que nous exploitons reproductibles depuis un dépôt versionné, dès votre première semaine, avant que l'habitude ne s'installe.

Dans vos premiers mois, vous allez :

• Construire la plateforme depuis du code. Machines, réseau, ingress, accès, environnements — versionnés, paramétrés, soumis à relecture. C'est le moment le moins coûteux où cela sera jamais fait, et vous le faites correctement au lieu de le rattraper après coup.
• Rendre le déploiement autonome. Aujourd'hui, livrer une application existante est un git push ; monter une nouvelle demande des droits d'administration et deux pièges non documentés. Combler cet écart est à vous : un chemin balisé, jusqu'à une seule commande, pour qu'un développeur ne tienne jamais un identifiant de plateforme.
• Gérer les secrets correctement. Un vrai gestionnaire de secrets machine et — parce que nous faisons tourner beaucoup d'agents d'IA — des identifiants intermédiés de sorte qu'un processus agent ne détienne jamais qu'un substitut, jamais une clé. Si vous avez des avis sur la façon d'empêcher un agent victime d'une injection de prompt de fuiter un identifiant de production, cette partie vous plaira ; presque personne n'a l'occasion de la concevoir depuis zéro.
• Mettre la sécurité dans le pipeline, pas après. Analyse statique, scan des dépendances et des images de conteneur, détection de secrets et contrôles de l'infrastructure as code comme portes sur chaque merge ; des scans dynamiques contre les environnements de preview ; et chaque vulnérabilité remontée à un seul endroit où elle est triée, attribuée et fermée — pas éparpillée sur une douzaine de tableaux de bord que personne n'ouvre. La mesure n'est pas le nombre de scanners qui tournent. C'est le peu de vulnérabilités encore ouvertes un mois plus tard, et la rareté des cas où quelqu'un ressent le besoin de contourner une porte.
• Prouver la restauration. Nous avons un standard écrit qui dit que quelqu'un le déploie n'est pas quelqu'un a prouvé que la restauration fonctionne. Vous ferez l'exercice et vous écrirez le compte rendu.
• Construire le chemin de mise en production. Du commit à la production, avec une barrière de tests automatisée, des URL de prévisualisation par branche qu'une partie prenante peut ouvrir depuis son téléphone, et un retour arrière que toute l'équipe a répété avant d'en avoir besoin.
• Puis faire tourner tout cela — et le rendre toujours plus ennuyeux. Observabilité, plafonds de coûts, hygiène des dépendances, le travail sans gloire qui décide si une petite équipe peut porter beaucoup de produits.

Et vous aurez l'autorité qui va avec. Vous n'implémentez pas la conception de plateforme de quelqu'un d'autre. Comment cela se construit, c'est vous qui le décidez. Nous recrutons au niveau senior précisément pour que ces décisions puissent être les vôtres — la plateforme sur laquelle tourne ici chaque produit est celle que vous posez, et nous préférons faire entrer le jugement plutôt que le superviser.

Personne n'est d'astreinte. Jamais.

Pas de rotation, pas de bip, pas de numéro de téléphone, pas de « garde juste un œil dessus ce week-end ». Les alertes se déposent dans un canal d'équipe et y attendent. C'est une décision consignée, pas un oubli que nous redécouvrirons plus tard — et elle s'applique à tous les produits que nous détenons, sans exception.

Nous vous le disons d'emblée parce que ce n'est pas un avantage auquel nous espérons discrètement que vous renoncerez. Beaucoup d'annonces disent « culture d'astreinte saine » et veulent dire une rotation. Nous voulons dire qu'il n'y a pas de rotation.

Voici l'autre moitié honnête, et c'est le poste réel : nous ne pouvons faire cette promesse que parce que nous nous protégeons par l'ingénierie plutôt que par les soirées des gens — et cette ingénierie, c'est ce pour quoi nous vous recrutons. De l'infrastructure as code, pour qu'une machine perdue soit reconstruite plutôt que ressuscitée. Des sauvegardes avec une restauration que nous avons réellement testée. Un retour arrière en un clic que tout le monde a déjà répété. Des alertes qui font la queue au lieu d'appeler, parce que rien à l'autre bout n'est censé répondre la nuit.

L'échange est donc explicite : on ne vous réveille jamais, et en contrepartie les systèmes doivent être réellement récupérables. Si vous avez passé une carrière à être appelé pour des choses qui auraient dû être réglées par l'ingénierie, voici la version du poste où vous faites l'ingénierie.

Pendant les heures de bureau, c'est l'inverse du désengagement. Le PO, les développeurs et l'ingénieur DevSecOps affectés à un produit portent les incidents de ce produit — le support n'est pas expédié à une équipe séparée, il fait partie de la prise en charge, et c'est ce qui garde tout le monde honnête sur la qualité.

Comment nous construisons — délibérément ennuyeux, et vous avez voix au chapitre

Nous avons une stack posée et c'est la même dans la plupart des dépôts exprès : un squelette, des paquets partagés, push pour déployer. Le gain, c'est qu'une équipe de deux peut reprendre un produit jamais vu et être utile le jour même, ce qui est la seule raison pour laquelle une équipe de cette taille peut porter autant de produits.

Nous construisons la plateforme la plus simple qui satisfasse l'exigence, et nous sommes stricts sur ce qu'est réellement l'exigence. Ici, la complexité doit gagner sa place : chaque capacité que nous exploitons est une chose de plus qu'une seule équipe doit comprendre, corriger et savoir reconstruire.

Un exemple concret, parce qu'il en dit long sur nous : nous ne faisons pas tourner Kubernetes, et c'était une décision et non un oubli. Nous l'avons examiné sérieusement, deux fois — la dernière parce que nous craignions de nous être trompés — et les deux fois la réponse a été qu'un petit portefeuille sur un trafic prévisible n'a pas assez besoin d'ordonnancement multi-nœuds et d'autoscaling pour les payer avec le seul ingénieur d'infrastructure dont nous disposons. Nous avons écrit les conditions précises dans lesquelles nous changerions d'avis, et le jour où l'une d'elles est remplie, nous changerons.

C'est bien pourquoi nous demandons quelqu'un qui a fait tourner Kubernetes en production et qui sait nous dire quand ce n'est pas la réponse. Si votre idée d'une bonne semaine est de régler un cluster, ce n'est pas le bon poste et nous préférons que vous le sachiez maintenant. Si votre idée d'une bonne plateforme est celle qu'une petite équipe peut comprendre entièrement, reconstruire depuis un dépôt et transmettre à un nouvel arrivant en une après-midi — et que vous avez assez de cicatrices pour savoir où cela cesse de suffire — ce jugement est l'essentiel de ce que nous recrutons.

C'est un choix par défaut, pas une camisole de force. Certaines choses ont réellement besoin d'autre chose, et dans ce cas nous nous adaptons délibérément, avec le raisonnement écrit. Ce que nous ne faisons pas, c'est redécider les cinq mêmes questions sur chaque nouveau dépôt par habitude.

Et vous avez voix au chapitre sur le standard. N'importe qui peut proposer un changement — quelque chose de neuf réellement meilleur, quelque chose vers quoi nous devrions monter, quelque chose que nous avons raté. Une proposition est instruite sérieusement face aux alternatives, elle obtient une réponse, et si la réponse est non vous obtenez le raisonnement. Sur l'infrastructure, vous n'êtes pas une voix parmi d'autres — vous êtes celui qui décide, dans un budget que vous aidez à fixer.

Vous allez devenir très bon en construction avec des agents d'IA

Nous sommes une équipe d'ingénierie native à l'IA, vraiment — pas une équipe qui a ajouté une licence Copilot. Chaque ingénieur a son propre abonnement Claude Max et un orchestrateur de bureau qui fait tourner plusieurs agents de code en parallèle, chacun sur sa branche. Cela vaut pour vous aussi : une grande partie du travail d'infrastructure se spécifie désormais plus qu'elle ne se tape, et vous deviendrez très bon pour piloter cela — là où ça marche, où ça échoue, et comment lire un diff et décider si c'est réellement juste.

Cela rend aussi votre poste plus intéressant que le même intitulé ailleurs, parce que l'ingénierie agentique crée des problèmes d'infrastructure que la plupart des équipes n'ont pas encore :

• Les agents installent des paquets dans du code voisin de données clients. L'hygiène de la chaîne d'approvisionnement — scanner ce qui entre, savoir ce que contient chaque image, pouvoir prouver ce qui a été livré — cesse d'être une case de conformité et devient un contrôle vivant dont vous répondez.
• Les agents détiennent des identifiants — ou plutôt, ils ne le doivent pas. Intermédier l'identité machine pour que l'agent ne touche jamais la vraie clé est un problème de conception, et il est à vous.
• Les agents coûtent de l'argent d'une manière invisible jusqu'à la facture. Budgets par projet, plafonds durs, et une alerte qui se déclenche avant le plafond, pas après.
• Les agents peuvent déployer. Ce qui veut dire que les garde-fous entre « un agent a proposé cela » et « cela est en production » relèvent de l'in