Lead Security Engineer

Please note that fluency in French is required, as it is our main business language. English is considered our secondary working language.
📅 Date de démarrage
ASAP - idéalement décembre 2026 / janvier 2027
Préavis jusqu'à 3 mois envisageable
🏡 Type de contrat
CDI (privilégié) ou Freelance
Temps plein
Séniorité : Confirmé
🌍 Localisation
100% Remote (Europe, zone CET ±4h)
💼 Description du poste
DotWorld opère un portefeuille de produits SaaS B2C, 100 % autofinancés, utilisés chaque année par des dizaines de millions de visiteur(se)s. Ces produits encaissent des paiements, traitent des données personnelles et sont exposés à Internet en permanence : chez nous, la sécurité, c'est la confiance de nos utilisateur(rice)s et de nos partenaires de paiement.
Nous recherchons notre premier(e) Lead Security Engineer, la toute première personne dédiée à la sécurité chez DotWorld. Ta mission : rendre DotWorld difficile à attaquer, repérer vite celles et ceux qui essaient, et riposter calmement.
Ton rôle s'articule autour de trois axes :
La défense d'abord : sécuriser les accès, le cloud, la production et les postes de travail
L'offensif en appui : penser comme un(e) attaquant(e) et tester nos propres défenses
La structuration : diffuser une culture sécurité dans toutes les équipes et, à terme, accompagner nos démarches de conformité
C'est un poste de création : tu poses les fondations, tu choisis les priorités et tu as un vrai pouvoir de décision sur les choix sécu.
👥 Description de l'équipe
Tu seras rattaché(e) directement à Grégoire OHANESSIAN, notre CTO. Tu travailleras en binôme avec Aleksander FIELEK, notre DevOps, au service d'environ 25 développeur(se)s réparti(e)s en squads produit.
Tu feras partie du département Plateforme, qui travaille avec tout le monde : tu seras en lien régulier avec toutes les équipes tech et l'équipe Risk & Payment, puis, dans un second temps, avec les responsables de chaque département pour comprendre leurs enjeux sécu. L'équipe est full remote, orientée impact, avec une culture forte de l'autonomie.
📂 Tes responsabilités
Identité et accès
Construire une gestion des identités centralisée et robuste : SSO, provisioning (SCIM), MFA forte
Appliquer le principe du moindre privilège, avec des élévations de droits temporaires et tracées
Sécuriser les arrivées, changements d'équipe et départs, y compris pour les prestataires
Administrer le gestionnaire de mots de passe et les comptes de service
Cloud, production et secrets
Sécuriser nos environnements cloud (AWS multi-comptes, plateformes de déploiement, CDN / WAF)
Éliminer les secrets statiques au profit d'identités éphémères (OIDC, rôles IAM) et automatiser leur rotation
Durcir les configurations et faire la revue sécu des nouvelles briques d'architecture
Postes et réseau
Gérer la sécurité de la flotte de postes (MDM, chiffrement, mises à jour)
Déployer une approche zero trust pour l'accès aux outils critiques
Détection et réponse
Centraliser les logs de sécurité et construire des alertes vraiment utiles
Mener les incidents de sécurité de bout en bout : détection, confinement, correction, post-mortem
Contrer les attaques propres aux produits B2C : credential stuffing, account takeover, card testing, création de comptes en masse, scraping, DDoS
Offensif
Réaliser des pentests internes et des revues de code sécu, en tirant parti des outils IA
Piloter les pentests externes et, si pertinent, un programme de bug bounty
Culture et conformité
Sensibiliser les équipes : formations internes, guides de bonnes pratiques, exercices de phishing
Accompagner les squads sur le code sécurisé
Dans un second temps, mener des audits sécurité auprès de chaque département
À terme, contribuer aux démarches de conformité (ISO 27001 / SOC 2, PCI DSS) et à la relation avec les auditeur(rice)s et partenaires de paiement
⭐ Ton profil
Expérience
Tu as déjà eu la sécurité d'une entreprise ou d'un large périmètre sous ta responsabilité, en autonomie - souvent un parcours Dev / DevOps qui a évolué vers la sécurité par la pratique ou par passion
Pas besoin d'avoir déjà été lead, ni d'avoir travaillé dans un grand département sécu ou une Red Team
Tu as mené de vrais incidents de sécurité de bout en bout
Tu sais prioriser par le risque réel plutôt que par la checklist
Idéalement, tu as évolué dans une entreprise ou une équipe qui a mis en place une démarche de conformité, même si ce n'est pas toi qui l'as portée
Avoir mené ou accompagné un audit ISO 27001, SOC 2 ou PCI DSS est un bonus
Une expérience sur la fraude et les abus de produits B2C qui encaissent des paiements est un vrai plus
Compétences techniques
Indispensables :
Sécurité cloud AWS solide et son outillage sécu natif (IAM, Organizations, SCP, CloudTrail, GuardDuty…)
Pentest web et API (OWASP Top 10, exploitation de failles) et maîtrise des outils du pentester, idéalement augmentés par l'IA
Une forte culture de l'automatisation : Python, scripting, Go
Ce qui fera la différence :
Identité et accès : SAML, OIDC, SCIM, MFA, principe du moindre privilège
Sécurité des briques web modernes : CDN / WAF, DNS, plateformes de déploiement, gestion des secrets
Certifications (OSCP, OSWE, AWS Security Specialty, CISSP ou équivalent), bug bounty / CTF, gestion de flotte Mac (MDM), contributions open source, articles ou talks
Compétences interpersonnelles
Grande autonomie et ownership : tu avances sans attendre qu'on te trace le chemin
Pédagogue et bon(ne) communicant(e) : tu sais rendre la sécu accessible à des équipes non techniques, tout sauf un(e) expert(e) enfermé(e) dans sa grotte
Pragmatique : tu trouves le bon équilibre entre sécurité et rythme de livraison
Calme et méthodique sous pression
Curieux(se) et à l'aise avec un usage intensif de l'IA
Compétences linguistiques
Français courant - c'est notre langue de travail principale
Anglais niveau B2 minimum - c'est notre langue de travail secondaire, et il est évalué pendant le processus de recrutement. Tu échangeras notamment, surtout à l'écrit, avec nos partenaires cloud et fournisseurs
✅ Les avantages du poste
Création de poste : tu poses les fondations de la sécurité sur nos produits phares à fort trafic
Accès direct au CTO et vrai pouvoir de décision sur les choix sécu
Petite équipe, gros impact : binôme avec le DevOps, aucune lourdeur hiérarchique
Budget outillage dédié, et ton mot à dire sur le choix des outils à venir
Environnement pro-IA : accès aux principaux modèles cloud et à des modèles open source orientés sécurité pour décupler tes capacités de pentest - et on ne rechigne pas sur les coûts d'API
Un terrain de jeu rare : des produits B2C exposés, avec des enjeux concrets de paiement, de fraude et de scale
👣 Les défis du poste
Tu seras le/la premier(e) et seul(e) spécialiste sécu : à toi de poser le cadre et de faire grandir la culture sécurité
Un poste très hands-on : tu mets les mains dans le cambouis avant de pouvoir déléguer
Un périmètre très large (défense, offensif, culture, conformité) qui demande de prioriser en permanence
Des arbitrages réguliers avec des équipes qui livrent vite : la sécu doit accompagner la vitesse, pas la freiner
Une structure à taille humaine (une soixantaine de personnes) qui adresse des enjeux de grande entreprise
📋 Notre processus de recrutement
Entretien de découverte avec notre Talent Acquisition Manager, Noémie - 30 min
Étude de cas sécurité à préparer chez toi (environ 1 semaine), puis entretien technique avec notre CTO Grégoire et notre DevOps Aleksander : restitution de ton étude de cas, exercice pratique en live et échange sur ta vision du métier
Entretien culturel avec notre Head of HR & Finance, Matteo - 1h
Prise de références
ℹ️ A propos de DotWorld
Dotworld est un Venture Builder et SaaS Studio. Notre modèle est simple mais exigeant

Work arrangement
No