Senior AppSec Engineer: Build secure-by-default CLM

Tomorro; Paris; Sur place; EUR 75 000 - 85 000; Plein temps

Résumé du poste

Tomorro est une plateforme IA de Contract Lifecycle Management. Le senior Product Security Engineer prend l’ownership de la sécurité applicative, en lien direct avec le Head of Security, sur une stack TypeScript/React/Next.js et une architecture multi-tenant.

Le rôle s’inscrit dans l’intégration de la sécurité dans le cycle de développement, via des design reviews, du threat modeling et des outils SAST/SCA dans la CI/CD. Objectif: rendre la sécurité par défaut sans freiner la vélocité.

Qualifications

• 5+ ans en sécurité applicative dans un environnement B2B SaaS, avec maîtrise des risques et des priorisations.
• Connaissance des stacks JavaScript/TypeScript et React/Next.js.
• Capacité à mener threat modeling et design reviews en amont des développements.
• Expérience avec SAST/SCA et scans de secrets dans CI/CD.
• Connaissance des risques d’auth et des contrôles d’accès (IDOR, ACL, RBAC).

Responsabilités

• Prendre l’ownership de la Product/Application Security : risques code, API, isolation multi-tenant et données sensibles.
• Intégrer la sécurité dans le cycle de développement : reviews, threat modeling et guidelines PR.
• Construire et calibrer l’outillage AppSec dans CI/CD : SAST, SCA et remédiation par le risque.
• Cartographier et réduire la dette AppSec : permissions, flux de données et zones à haut risque.
• Développer des patterns secure-by-default et documentations pour TypeScript/React/Next.js.
• Former et accompagner un profil junior IT/IAM sur les fondamentaux sécu et le suivi de remédiation.
• Allier sécurité et vélocité Engineering avec des mitigations réalistes et des trade-offs.

Connaissances

Sécurité applicative

JavaScript/TypeScript

Threat modeling

Revue de sécurité

CI/CD sécurité

OWASP Top 10

Outils

SAST

SCA

Secrets scanning

CI/CD tooling

Description du poste

Tomorro est une plateforme IA de Contract Lifecycle Management. Le senior Product Security Engineer prend l’ownership de la sécurité applicative, en lien direct avec le Head of Security, sur une stack TypeScript/React/Next.js et une architecture multi-tenant.

Le rôle s’inscrit dans l’intégration de la sécurité dans le cycle de développement, via des design reviews, du threat modeling et des outils SAST/SCA dans la CI/CD. Objectif: rendre la sécurité par défaut sans freiner la vélocité.