Aider les développeurs à construire des applications sûres.
La sécurité applicative (AppSec) consiste à prévenir les failles dans les logiciels, les sites et les API (les interfaces qui permettent à des applications d'échanger des données). Le DevSecOps intègre ces contrôles directement dans la chaîne de développement. Le métier est idéal pour les développeurs qui veulent se spécialiser en sécurité.
Niveau technique approximatif
À quoi ressemble une journée type ?
9 h 30
Revue du code d'une nouvelle fonctionnalité de paiement.
11 h
Analyse des résultats d'un outil de scan automatique de code.
14 h
Atelier avec les développeurs sur les erreurs les plus fréquentes.
16 h
Ajout d'un contrôle de sécurité dans la chaîne de déploiement.
Journée illustrative : le quotidien varie selon l'employeur et la taille de l'équipe.
Les tâches principales
- Relire du code pour y repérer des failles
- Analyser les résultats des outils SAST et DAST
- Tester la sécurité des API
- Former et conseiller les développeurs
- Intégrer des contrôles automatiques dans le déploiement
Les compétences importantes
- Programmation
- Fonctionnement du web et des API
- Pédagogie
- Git et intégration continue
- Patience
Les outils utilisés
- SAST (Semgrep, SonarQube)
- Outils qui analysent le code source sans l'exécuter.
- DAST (OWASP ZAP)
- Outils qui testent une application en fonctionnement.
- OWASP Top 10
- Liste de référence des risques les plus courants dans les applications web.
- GitHub / GitLab CI
- Chaînes d'intégration où l'on ajoute des contrôles automatiques.
Ce qui peut être intéressant
- Un impact direct sur la qualité des produits
- Un métier en forte croissance
- Un passage naturel pour les développeurs
Ce qui peut être difficile
- Savoir programmer est indispensable
- Il faut trouver l'équilibre entre sécurité et rythme des équipes
- Peu de postes véritablement juniors
Quel type de personnalité peut apprécier ce métier ?
- Vous aimez le code
- Vous aimez expliquer et transmettre
- Vous cherchez des solutions pragmatiques
Ce métier pourrait vous correspondre si…
- vous savez déjà programmer ou aimez vraiment apprendre à coder
- vous aimez comprendre comment une application fonctionne de l'intérieur
- vous aimez travailler avec des développeurs
Première étape recommandée
Parcourir l'OWASP Top 10 et faire les premiers exercices gratuits de la PortSwigger Web Security Academy.
Très adapté aux développeurs. Pour un non-développeur, il faut d'abord apprendre à programmer.
Étapes possibles avant ce métier, selon votre parcours
Développeur · Ingénieur DevOps · Testeur ou ingénieur qualité logicielle