Lead Security Engineer

Date de démarrage

• ASAP - idéalement décembre 2026 / janvier 2027
• Préavis jusqu'à 3 mois envisageable
• CDI (privilégié) ou Freelance
• Séniorité : Confirmé

Description du poste

DotWorld opère un portefeuille de produits SaaS B2C, 100 % autofinancés, utilisés chaque année par des dizaines de millions de visiteur(se)s. Ces produits encaissent des paiements, traitent des données personnelles et sont exposés à Internet en permanence : chez nous, la sécurité, c'est la confiance de nos utilisateur(rice)s et de nos partenaires de paiement.

Nous recherchons notre premier(e) Lead Security Engineer, la toute première personne dédiée à la sécurité chez DotWorld. Ta mission : rendre DotWorld difficile à attaquer, repérer vite celles et ceux qui essaient, et riposter calmement.

Ton rôle s'articule autour de trois axes :

• La défense d'abord : sécuriser les accès, le cloud, la production et les postes de travail
• L'offensif en appui : penser comme un(e) attaquant(e) et tester nos propres défenses
• La structuration : diffuser une culture sécurité dans toutes les équipes et, à terme, accompagner nos démarches de conformité

C'est un poste de création : tu poses les fondations, tu choisis les priorités et tu as un vrai pouvoir de décision sur les choix sécu.

Tu seras rattaché(e) directement à Grégoire OHANESSIAN, notre CTO. Tu travailleras en binôme avec Aleksander FIELEK, notre DevOps, au service d'environ 25 développeur(se)s réparti(e)s en squads produit.

Tu feras partie du département Plateforme, qui travaille avec tout le monde : tu seras en lien régulier avec toutes les équipes tech et l'équipe Risk & Payment, puis, dans un second temps, avec les responsables de chaque département pour comprendre leurs enjeux sécu. L'équipe est full remote, orientée impact, avec une culture forte de l'autonomie.

Tes responsabilités

Identité et accès

• Construire une gestion des identités centralisée et robuste : SSO, provisioning (SCIM), MFA forte
• Appliquer le principe du moindre privilège, avec des élévations de droits temporaires et tracées
• Sécuriser les arrivées, changements d'équipe et départs, y compris pour les prestataires
• Administrer le gestionnaire de mots de passe et les comptes de service

Cloud, production et secrets

• Sécuriser nos environnements cloud (AWS multi-comptes, plateformes de déploiement, CDN / WAF)
• Éliminer les secrets statiques au profit d'identités éphémères (OIDC, rôles IAM) et automatiser leur rotation
• Durcir les configurations et faire la revue sécu des nouvelles briques d'architecture

Postes et réseau

• Gérer la sécurité de la flotte de postes (MDM, chiffrement, mises à jour)
• Déployer une approche zero trust pour l'accès aux outils critiques

Détection et réponse

• Centraliser les logs de sécurité et construire des alertes vraiment utiles
• Mener les incidents de sécurité de bout en bout : détection, confinement, correction, post-mortem
• Contrer les attaques propres aux produits B2C : credential stuffing, account takeover, card testing, création de comptes en masse, scraping, DDoS
• Réaliser des pentests internes et des revues de code sécu, en tirant parti des outils IA
• Piloter les pentests externes et, si pertinent, un programme de bug bounty

Culture et conformité

• Sensibiliser les équipes : formations internes, guides de bonnes pratiques, exercices de phishing
• Accompagner les squads sur le code sécurisé
• Dans un second temps, mener des audits sécurité auprès de chaque département
• À terme, contribuer aux démarches de conformité (ISO 27001 / SOC 2, PCI DSS) et à la relation avec les auditeur(rice)s et partenaires de paiement

Expérience

• Tu as déjà eu la sécurité d'une entreprise ou d'un large périmètre sous ta responsabilité, en autonomie - souvent un parcours Dev / DevOps qui a évolué vers la sécurité par la pratique ou par passion
• Pas besoin d'avoir déjà été lead, ni d'avoir travaillé dans un grand département sécu ou une Red Team
• Tu as mené de vrais incidents de sécurité de bout en bout
• Tu sais prioriser par le risque réel plutôt que par la checklist
• Idéalement, tu as évolué dans une entreprise ou une équipe qui a mis en place une démarche de conformité, même si ce n'est pas toi qui l'as portée
• Avoir mené ou accompagné un audit ISO 27001, SOC 2 ou PCI DSS est un bonus
• Une expérience sur la fraude et les abus de produits B2C qui encaissent des paiements est un vrai plus

Compétences techniques

Indispensables :

• Sécurité cloud AWS solide et son outillage sécu natif (IAM, Organizations, SCP