AppSec: rynek

Oferta

otwarta oferta, która przeszła kontrolę jakości i wymienia co najmniej dwie technologie

Obserwowany kandydat

kandydat, którego stack zawiera tę technologię; agregat — żaden pojedynczy rekord nie opuszcza perymetru

Kandydat do dopasowania

jeszcze nie liczone

Okno

oferty otwarte w chwili tworzenia snapshotu

Junior — typowe wejście: 1) Backend Senior + zainteresowanie bezpieczeństwem (głębia programistyczna już jest, potrzebne techniki bezpieczeństwa), 2) Security Engineer Middle + zainteresowanie pracą dogłębnie w kodzie, 3) Bug bounty hunter z udokumentowanymi osiągnięciami (reputacja na HackerOne / doświadczenie w programach prywatnych) → wewnętrzny AppSec. Skok Junior → Middle — po pierwszej kompleksowej integracji bezpiecznego SDLC (SAST + SCA + model zagrożeń dla jednego produktu) + triażu pierwszego zgłoszenia o wysokiej wadze. Middle → Senior — odpowiedzialność za AppSec wielu produktów + zarządzanie programem bug bounty + odpowiedzialność za metryki AppSec (typowy mandat: skrócenie średniego czasu naprawy zgłoszeń krytycznych do <7d). Senior → Staff / Principal / AppSec Architect — wzorce bezpiecznego projektowania w całej organizacji + referencyjne architektury bezpieczeństwa + tworzenie szkoleń z bezpieczeństwa produktu. Ścieżka kariery: Backend Senior (3-5 lata) + zainteresowanie → AppSec Junior (1-2 lata) → Middle (2-3 lata) → Senior → albo AppSec Architect, Bug Bounty / Security Researcher, specjalista API Security, ścieżka CISO Product Security, albo zewnętrzne doradztwo w zakresie bezpieczeństwa.

5 najważniejszych: cloud, ci/cd, python, aws, kubernetes. Biegłość w SAST: biegłość w Semgrep (rosnący 2026 — szybki + własne reguły w YAML + pakiety reguł społeczności — lider dla nowych projektów), SonarQube / SonarCloud (dojrzały — hybryda jakości kodu i bezpieczeństwa), CodeQL (GitHub Advanced Security — najlepszy dla firm natywnych na GitHubie, semantyczny język zapytań), Checkmarx + Veracode + Synopsys Coverity (enterprise). Rosyjskie: Positive Technologies PT Application Inspector. Biegłość w DAST: OWASP ZAP (darmowy standard — łatwy w automatyzacji przez ZAP API / Docker), Burp Suite Professional (PortSwigger — standard branżowy w ręcznym pentestingu + Burp Collaborator dla podatności blind + Burp Extensions), Acunetix, StackHawk (nowoczesny DAST w CI), Detectify, Bright Security. Biegłość w SCA: Snyk dominuje 2026 (najlepszy UX + wtyczki IDE + automatyczne PR z poprawkami), Dependabot (darmowa baza na GitHubie), Renovate (zaawansowany — lepszy dla monorepo), Sonatype Nexus IQ, FOSSA (zgodność licencji), JFrog Xray. IAST: Contrast Security (lider — instrumentacja w czasie działania, oparta na agencie), HCL AppScan, Veracode IAST. API Security (rosnące 2024+): Salt Security (lider wykrywania API + postury), Noname Security, 42Crunch (OpenAPI-first — najlepszy dla podejścia design-first), Traceable, Wallarm (rosyjskiego pochodzenia + globalny), Cequence. Znajomość frameworka OWASP API Security Top 10. Narzędzia Threat Modelling: Microsoft Threat Modeling Tool (darmowy, desktopowy), OWASP Threat Dragon (open-source), IriusRisk (automatyzacja enterprise), Tutamen. Metodyka STRIDE (Microsoft — Spoofing / Tampering / Repudiation / Information Disclosure / Denial of Service / Elevation of Privilege) + PASTA (7 etapów, sterowana procesem) + LINDDUN (skupiona na prywatności) + Attack Trees. Platformy Bug Bounty: HackerOne (największa), Bugcrowd, Intigriti (lider europejski), YesWeHack (francuska), Synack (weryfikowana premium). Rosyjskie: Standoff Bug Bounty (PT — największa w Rosji), Bug Bounty Russia. RASP: Contrast Protect, Imperva RASP, Signal Sciences. WAF: Cloudflare WAF (dominuje 2026), AWS WAF, Imperva, Fortinet FortiWeb, F5 Advanced WAF, Akamai App & API Protector. Rosyjskie: Wallarm + Kaspersky DDoS + Qrator. Narzędzia do przeglądu kryptografii: testssl.sh + Qualys SSL Labs + cryptosense. Auth / Authz: dogłębnie OAuth 2.1 + OIDC + SAML, dogłębnie pułapki JWT (alg=none + key confusion + usuwanie podpisu + wygasłe tokeny), zarządzanie sesjami, OWASP ASVS. Znajomość podatności specyficznych dla języków: Java (Log4Shell + JNDI + deserializacja), .NET (BinaryFormatter + ViewState), Python (pickle + YAML + wstrzykiwanie przez subprocess), JavaScript / TypeScript (prototype pollution + kodowanie XSS zależne od kontekstu + łańcuch dostaw npm), Go (path traversal + SSRF + TOCTOU), Rust (audyt bloków unsafe), C / C++ (podatności bezpieczeństwa pamięci). Języki do narzędzi: Python jako główny, JS / TS, plus umiejętność czytania wszystkich docelowych języków.

Security Engineer (ogólnie) — szerokie pokrycie wszystkich domen bezpieczeństwa. Nacisk: obsługa SIEM + zarządzanie podatnościami + tożsamość + sieć + zgodność. Zob. Security Engineer (ogólnie). DevSecOps Engineer — nacisk na bezpieczeństwo w pipeline'ach CI/CD + bezpieczeństwo IaC + runtime kontenerów + integralność łańcucha dostaw. Po stronie infrastruktury. Dużo programowania do automatyzacji. Zob. DevSecOps. AppSec Engineer (ta strona) — nacisk na bezpieczeństwo kodu produktu: triaż wyników SAST, threat modelling funkcji, security code review, bezpieczne wzorce projektowe, triaż zgłoszeń bug bounty, szkolenia z bezpieczeństwa dla programistów, bezpieczeństwo API. Po stronie kodu (a nie infrastruktury). Głębsze programowanie ze względu na wymóg znajomości wielu języków. Pentester / Ethical Hacker — nacisk ofensywny — łamie zabezpieczenia, znajduje podatności przez aktywną eksploatację. Zob. Penetration Tester / Red Team. Często w konsultingu lub w bug bounty. Rzeczywistość 2026 (mapa pokrycia): AppSec ↔ DevSecOps: 50% (obie role używają SAST/SCA, ale nacisk jest inny). AppSec ↔ Pentester: 40% (obie myślą ofensywnie, ale pentester aktywnie eksploatuje, a AppSec działa prewencyjnie). AppSec ↔ Security Engineer: 30% (AppSec dogłębnie w jednej domenie, Security Engineer — szerokość). Zmiany ścieżki kariery: Senior Backend → Junior AppSec — 4-8 miesięcy (głębia programistyczna już jest). Pentester / łowca błędów → AppSec — 2-4 miesięcy (ofensywna intuicja się przenosi). Senior DevSecOps → AppSec — 2-4 miesięcy (wspólna wiedza o bezpieczeństwie). Senior AppSec → Product Security Architect — 2-4 lata. Które role w firmach jakiej wielkości: Małe startupy — jedna osoba = wszystko (hybryda Security Engineer / DevSecOps / AppSec). Średnie (50-500 inżynierów) — osobne role. Big Tech (inżynierowie) — zespół Product Security (synonimy: AppSec / Product Security) to organizacja odrębna od Corporate Security.

Referencyjny pipeline secure SDLC 2026 (bezpieczeństwo wbudowane w każdy etap cyklu życia oprogramowania): 1) Szkolenia z bezpieczeństwa (ciągłe) — programiści przechodzą OWASP Top 10 + warsztaty bezpiecznego kodowania + szkolenia o podatnościach specyficznych dla języka. Narzędzia: SecureFlag, Codebashing (Checkmarx), Avatao (szkolenia interaktywne). Obowiązek: coroczne odświeżenie + onboarding obejmuje 4+ godzinny moduł bezpieczeństwa. 2) Modelowanie zagrożeń (dla każdej nowej funkcji / większej zmiany) — sesja metodą STRIDE z produktem / inżynierią / AppSec. Udokumentuj powierzchnię ataku + środki zaradcze. Narzędzia: Microsoft Threat Modeling Tool / OWASP Threat Dragon / IriusRisk (automatyzacja enterprise). Wynik: dokument modelu zagrożeń dołączony do dokumentu projektowego. 3) Przegląd bezpiecznego projektu — recenzent AppSec zatwierdza decyzje architektoniczne wpływające na bezpieczeństwo (przepływy uwierzytelniania, obsługa danych, integracje zewnętrzne, wybór kryptografii). 4) Hooki pre-commit — lokalne hooki Git ze skanowaniem sekretów (GitLeaks / TruffleHog) + wtyczki IDE (rozszerzenia Semgrep / SonarLint / Snyk oznaczają podatności na bieżąco). Odrzucaj commity z wyciekłymi sekretami. 5) Tworzenie PR / MR — automatyczne kontrole: SAST (Semgrep + CodeQL + SonarQube), SCA (Snyk + Dependabot — oznaczają podatności zależności + automatyczne PR z podbiciem wersji), bezpieczeństwo IaC (Checkov), skanowanie sekretów. PR jest blokowany przy krytycznych znaleziskach. 6) Code review — PR oznaczone jako istotne dla bezpieczeństwa automatycznie oznaczają zespół AppSec. Ręczny przegląd bezpieczeństwa kodu dla funkcji dotykających uwierzytelniania / kryptografii / obsługi danych. 7) Merge do main — pełny zestaw skanów bezpieczeństwa w CI: głębszy SAST (dłużej trwający), skany DAST środowiska staging (OWASP ZAP / StackHawk na API + UI staging), IAST (Contrast Security w runtime, jeśli zainstalowany), skan zgodności licencji (FOSSA / Snyk License Compliance). 8) Pentest przed wydaniem (dla dużych funkcji) — wewnętrzny zespół AppSec lub zewnętrzny pentest. Standardowy pentest = zlecenie na 5-15 dni. 9) Program bug bounty — publiczny lub prywatny program na HackerOne / Bugcrowd / Intigriti / Standoff (rosyjski). Triaż napływających zgłoszeń — typowe SLA: pierwsza odpowiedź 24h, walidacja 5d, poprawka 30-90d zależnie od krytyczności. 10) Ciągłość po wydaniu — monitoring runtime (RASP — Contrast Protect), monitoring bezpieczeństwa API (Salt / Noname / 42Crunch), analiza logów WAF (Cloudflare / AWS WAF), dashboard metryk bezpieczeństwa (średni czas naprawy według krytyczności, wskaźnik postawy AppSec, % funkcji po przeglądzie bezpiecznego projektu). Przekrojowo: śledzone metryki AppSec: MTTR (mean-time-to-remediate) dla podatności, % znalezisk wysokiej krytyczności zamkniętych w SLA, dług bezpieczeństwa w czasie, wskaźnik dojrzałości OWASP SAMM / BSIMM, gęstość podatności na KLOC. Raportowanie zgodności: automatyczne zbieranie dowodów do audytów SOC 2 / ISO 27001 / PCI-DSS (Drata / Vanta / Secureframe). Senior AppSec odpowiada za cały ten pipeline + strojenie odsetka fałszywych alarmów + równoważenie bezpieczeństwa z tempem pracy programistów.

Tak, 45% ofert AppSec Engineer to praca w pełni zdalna lub hybrydowa. Praca AppSec to przede wszystkim przegląd kodu + narzędzia bezpieczeństwa SaaS + zdalna współpraca z zespołami inżynierskimi. Firmy outsourcingowe — prawie zawsze zdalnie przy amerykańskich projektach AppSec. Rosyjskie banki + firmy produktowe — hybrydowo lub zdalnie po okresie próbnym + weryfikacji bezpieczeństwa. Rosyjscy dostawcy bezpieczeństwa — hybrydowo lub zdalnie po weryfikacji. Firmy państwowe — hybrydowo/w biurze ze względu na poświadczenia bezpieczeństwa. Big Tech Product Security — standardem jest hybryda. Huby relokantów: Polska (UE przyjazna bezpieczeństwu) / Niemcy / Kanada / Serbia. Angielski do międzynarodowej pracy zdalnej w AppSec — obowiązkowo (społeczność bezpieczeństwa / OWASP / Defcon / Black Hat / dokumentacja dostawców Snyk / Veracode — anglojęzyczne).

AppSec Engineer i Product Security Engineer to niemal synonimy. Historyczna różnica: AppSec Engineer to szerszy termin (dowolna firma), skupiony na bezpieczeństwie warstwy aplikacji. Te same obowiązki (code review + threat modelling + secure design + triaż bug bounty), ale zwykle osadzony w zespole produktowym (a nie w scentralizowanym zespole AppSec). W Meta role Product Security Engineer mają wynagrodzenie z najwyższej półki + RSU ze względu na skalę (pojedyncza decyzja bezpieczeństwa dotyczy miliardów użytkowników). Wybór kariery: AppSec Engineer (ogólnie), jeśli chcesz pracować w średnich firmach + mieć szerszy zakres, Product Security Engineer (specyficzny dla Big Tech), jeśli chcesz wynagrodzenia na poziomie Big Tech + wpływu na masową bazę użytkowników + godzisz się na długi proces rekrutacji. Bug Bounty Triager / Security Researcher (wewnętrzny) — podspecjalizacja Product Security skupiona na obsłudze napływających zgłoszeń bug bounty (ocena wagi + odtwarzalności + naprawa + wypłata nagród). Często osobna rola w firmach z aktywnym bug bounty (reputacja w top-100 HackerOne).

Roadmapa: 1) Programowanie na poziomie Backend Senior — bez głębi programistycznej nie ma AppSec. Minimum jeden język dogłębnie (Python / Java / Go / .NET / JavaScript) + umiejętność czytania 2-3 kolejnych. To fundament. 2) Opanowanie OWASP Top 10 — przeczytaj oficjalny OWASP Top 10 (darmowy PDF) + odtwarzaj podatności w lokalnym labie (DVWA + WebGoat + Juice Shop — wszystkie za darmo). „The Web Application Hacker's Handbook” Stuttard / Pinto (kanoniczna książka o AppSec — obowiązkowa lektura). 3) OWASP ASVS (Application Security Verification Standard) — kompleksowa lista kontrolna, czytaj jako materiał referencyjny. 4) Opanowanie Burp Suite — PortSwigger Web Security Academy (za darmo — najlepsze praktyczne szkolenie AppSec 2026, obowiązkowo wszystkie laby). Zdobądź PortSwigger BSCP (Burp Suite Certified Practitioner) — certyfikat AppSec premium. 5) Praktyka SAST — opanowanie Semgrep (pisz własne reguły w YAML pod wzorce własnej bazy kodu + uruchamiaj na projektach open source). Nauka CodeQL (GitHub Advanced Security — za darmo dla repozytoriów open source). 6) Praktyka SCA — darmowy poziom Snyk + konfiguracja Dependabot dla własnego projektu na GitHubie. Zrozum priorytetyzację CVE / CVSS / EPSS. 7) Praktyka modelowania zagrożeń — metodyka STRIDE + Microsoft Threat Modeling Tool. Zastosuj do projektu własnego. Książka: „Threat Modeling: Designing for Security” Adam Shostack (obowiązkowa lektura dla poważnego AppSec). 8) Praktyka bug bounty — załóż konto na HackerOne / Bugcrowd / Intigriti / Standoff (rosyjski). Zacznij od programów publicznych + najprostszych znalezisk (CSRF + XSS + SSRF + IDOR na celach startupowych). Nawet małe nagrody budują CV. 9) Bezpieczeństwo API (zyskuje 2024+) — OWASP API Security Top 10 + laby 42Crunch (za darmo). Ćwicz ataki na API przez Burp + Postman. 10) Kryptografia dla programistów — typowe pułapki (JWT alg=none + tryb ECB + niebezpieczna losowość + ponowne użycie kluczy + ataki length-extension). Książka: „Practical Cryptography for Developers” Nakov (za darmo online). 11) Dogłębne podatności specyficzne dla języka — wybierz swój język + przestudiuj jego specyficzne podatności (deserializacja w Javie / pickle w Pythonie / prototype pollution w Node.js / path traversal w Go). 12) Certyfikaty ofensywne (mocno zalecane dla wiarygodności w AppSec): OSCP (Offensive Security Certified Professional — szeroki zakres ofensywny) → OSWE (Offensive Security Web Expert — skupiony na AppSec — premium dla ról AppSec) → OSCE (zaawansowana eksploitacja). 13) Portfolio projektów własnych: a) pełny pipeline secure SDLC (12 etapów) dla własnego projektu — udokumentuj jako portfolio; b) pakiet własnych reguł Semgrep dla konkretnej klasy podatności; c) dokument modelu zagrożeń dla realistycznej aplikacji webowej; d) reputacja w bug bounty (HackerOne ≥50 punktów reputacji za poprawne znaleziska). Międzynarodowe (EN): PortSwigger Web Security Academy (za darmo — najlepsze źródło 2026, obowiązkowo), SANS SEC542 Web App Penetration Testing (premium), „Real-World Bug Hunting” Peter Yaworski (kanoniczna książka o bug bounty), „Web Application Security” Andrew Hoffman (O'Reilly 2020). Obowiązkowe książki: „The Web Application Hacker's Handbook” Stuttard / Pinto (kanon mimo wieku 2011), „Threat Modeling” Adam Shostack, „Real-World Cryptography” David Wong. Backend Senior + 6 miesięcy skupionego szkolenia AppSec + znaleziska w bug bounty → AppSec Junior. Backend Senior + 2-3 lata AppSec → Middle. Łącznie 3-5 lat do Senior AppSec.

745 active open AppSec Engineer positions. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (Snyk / Veracode / Checkmarx / Synopsys / GitHub Advanced Security / HackerOne / Bugcrowd / Contrast Security — full-remote-friendly) + Big Tech Product Security. Time to close a Senior AppSec — 6-12 weeks (longer than general Security Engineer due to rare-skill combination — programming depth + multiple languages + security mindset + threat modelling experience).

Senior AppSec Engineer odpowiada za pełny cykl bezpieczeństwa aplikacji + przywództwo techniczne. Programowanie na poziomie Senior w backendzie: jeden język dogłębnie (Python / Java / Go / .NET / TypeScript) + znajomość pozostałych na poziomie czytania kodu. Konieczne dogłębne rozumienie klas podatności specyficznych dla języka. Biegłość w SAST: tworzenie własnych reguł Semgrep (dogłębnie — pisanie reguł bezpieczeństwa specyficznych dla logiki biznesowej w YAML), zapytania CodeQL (analiza semantyczna — premia w firmach opartych na GitHubie), własne reguły SonarQube. Strojenie odsetka fałszywych alarmów (typowe zadanie: <10% fałszywych alarmów). Biegłość w DAST: zaawansowany Burp Suite Professional (tworzenie Burp Extensions + Burp Collaborator do podatności blind + zaawansowany Burp Intruder + Macros do skanowania z uwierzytelnieniem), automatyzacja OWASP ZAP w CI. Biegłość w SCA: strojenie integracji Snyk, priorytetyzacja podatności zależności (CVSS + EPSS + exploitability score + analiza faktycznego użycia), obsługa zgodności licencyjnej. Biegłość w modelowaniu zagrożeń: metodyka STRIDE — prowadzenie sesji dla dużych funkcji, PASTA (oparta na procesie) dla systemów krytycznych, tworzenie drzew ataku, analiza powierzchni ataku. Biegłość w bezpiecznym projektowaniu: przegląd decyzji architektonicznych wpływających na bezpieczeństwo (przepływy uwierzytelniania + wybór kryptografii + obsługa danych + integracje zewnętrzne), lista kontrolna przeglądu projektu oparta na OWASP ASVS. Dogłębnie uwierzytelnianie / autoryzacja: zaawansowane OAuth 2.1 + OIDC + SAML (PKCE + rotacja tokenów + walidacja audience + RP-Initiated Logout), dogłębnie pułapki JWT (alg=none + key confusion + różnice JWS / JWE + usuwanie podpisu), wzorce zarządzania sesją (HTTPOnly + SameSite + tokeny CSRF + token binding). Przegląd kryptografii: przegląd konfiguracji TLS (dobór cipher suites + perfect forward secrecy + zarządzanie certyfikatami), kryptografia stosowana (właściwa losowość + użycie symetryczne vs asymetryczne + zarządzanie kluczami + integracja HSM). Biegłość w bezpieczeństwie API: OWASP API Security Top 10 — broken object level authorization (BOLA), broken authentication, nadmierna ekspozycja danych, brak rate limitingu itp. Wzorce integracji Salt / Noname / 42Crunch. Zarządzanie programem bug bounty: metodyka triage (ocena severity + odtwarzalności + wpływu), relacje z badaczami, komunikacja publiczna, decyzje o wypłatach, koordynacja CVE. Ujawnianie podatności: projektowanie programów CVD, proces nadawania CVE (rola CNA, jeśli dotyczy), pisanie biuletynów dla klientów. Odpowiedzialność za metryki AppSec: automatyzacja MTTR według severity, scoring dojrzałości AppSec, benchmarking dojrzałości OWASP SAMM / BSIMM, raportowanie do CISO. Frameworki zgodności: wsparcie audytów SOC 2 + ISO 27001 + PCI-DSS, automatyczne zbieranie dowodów. Doświadczenie w offensive security: certyfikaty OSCP / OSWE / OSCE mocno zalecane — rozumienie perspektywy atakującego czyni lepszym obrońcą. Programowanie narzędzi: dogłębny Python do własnej automatyzacji bezpieczeństwa + tworzenie linterów / skanerów. Projektowanie systemów pod kątem bezpieczeństwa: projektowanie bezpiecznych architektur na tablicy, modelowanie zagrożeń na przeglądach projektów funkcji, projektowanie architektury aplikacji Zero Trust. Kompetencje miękkie: pisanie ADR dla decyzji bezpieczeństwa, tworzenie szkoleń z bezpieczeństwa dla inżynierów (warsztaty + onboarding + klub książki AppSec), code review pod kątem bezpieczeństwa, komunikacja z kierownictwem (raporty o podatnościach dla zarządu), mentoring inżynierów AppSec na poziomie Middle. Angielski dla Senior+ OBOWIĄZKOWO — społeczność AppSec / OWASP / Defcon / Black Hat / dokumentacja dostawców są w całości anglojęzyczne. Opcjonalny bonus: opublikowane CVE (autor CVE — premia przy rekrutacji do czołowych zespołów AppSec), reputacja w bug bounty (reputacja top-100 na HackerOne), wystąpienia na konferencjach (DEF CON AppSec Village / OWASP AppSec / Black Hat), wkład open source w narzędzia bezpieczeństwa (reguły Semgrep / OWASP ZAP / wtyczki Snyk) — znacząco podnoszą wartość rynkową przy rekrutacji do Product Security w Big Tech + u czołowych dostawców bezpieczeństwa.