Ghost cerca un Senior Security Engineer che diventi il punto di riferimento unico per la sicurezza del progetto: una sola persona che tenga insieme tutto il quadro, dalla prima email di un ricercatore all'advisory pubblicata. Non sono richiesti viaggi frequenti, a parte i ritrovi aziendali periodici.
Ruolo
Ghost è una piattaforma di publishing open source usata da decine di migliaia di siti, e il codice è pubblico: questo genera un flusso costante di segnalazioni di sicurezza. Il lavoro consiste nel gestire l'intero ciclo di disclosure - triage, riproduzione, valutazione della severità, dialogo con chi segnala, pubblicazione delle advisory - e nel scrivere di persona le patch nel codebase Node.js/TypeScript, seguendole fino al rilascio. Accanto a questo c'è il lavoro sistemico: progettare i controlli di security scanning che girano su ogni pull request, introdurre passaggi di code review calibrati sulle classi di bug che emergono davvero, fare threat modelling sulle scelte architetturali mentre sono ancora sulla lavagna. Una parte crescente del codice nasce con l'aiuto di agenti AI, quindi serve costruire tooling che automatizzi triage, classificazione e bozze delle advisory lasciando a chi ricopre il ruolo le decisioni di merito. C'è infine una componente formativa: trasformare quello che emerge dalla coda in linee guida, esempi e sessioni brevi per il resto della squadra, e lavorare con il Platform team sull'hardening dell'infrastruttura di Ghost(Pro), dalle dipendenze alla supply chain fino a segreti e accessi, partecipando alla rotazione on-call. Si cerca una figura senior come individual contributor, con esperienza di application security su un prodotto reale e piena autonomia nel definire la direzione.
Tecnologie
Node.js, TypeScript, JavaScript full stack, sicurezza delle applicazioni web (XSS, SSRF, falle di autenticazione e sessione, path traversal, injection, bypass di rate limit e access control), security scanning in CI, threat modelling, supply chain e gestione di segreti e accessi, strumenti AI applicati al processo di sicurezza, open source.
Condividi annuncio
Informazioni su Ghost
Ghost è un'organizzazione non profit che sviluppa una piattaforma di publishing open source usata da decine di migliaia di siti e aziende in tutto il mondo. Nata come progetto finanziato su Kickstarter, è oggi uno dei progetti open source più diffusi nel suo settore: un'applicazione full stack in JavaScript che permette a giornalisti, autori indipendenti e redazioni di pubblicare articoli, gestire newsletter e costruire un modello di abbonamento sostenibile senza dipendere dalle piattaforme social. Tra chi la usa ci sono testate come 404 Media, Platformer e Tangle News, oltre ad aziende tecnologiche come YCombinator, Cloudflare e Kickstarter. Il codice è rilasciato con licenza MIT e praticamente tutto quello che viene sviluppato finisce pubblicamente su GitHub.
Il modello di business è dichiaratamente controcorrente: nessun investitore, nessuna exit all'orizzonte, profittevole dal primo anno e con ricavi annuali che superano i 10 milioni di dollari. Ghost pubblica metriche e obiettivi in modo trasparente e ha scelto di restare intenzionalmente piccola, con l'idea di non superare la cinquantina di persone anche mentre la base clienti continua a crescere. La squadra è distribuita in tutto il mondo e lavora in modo asincrono: la comunicazione passa soprattutto dalla scrittura, con poche riunioni e molta autonomia individuale. Tra le condizioni di lavoro ci sono la settimana corta di quattro giorni, ferie generose con chiusura aziendale a fine anno, budget per formazione e postazione, congedo parentale retribuito e ritrovi periodici della squadra in giro per il mondo.