Security Engineer - Purple Team

🎓 3 ans minimum d'expérience requis en pentest et/ou red team
💼 Bac+5
💰 Salaire prévu entre 51 et 88K€ fixes bruts par an, selon l'expérience
📍 Nantes, Marseille, Paris ou Full remote (localisation en France obligatoire)
🏠 Hybride ou Full remote possible avec déplacements trimestriels
🌍 Lucca is getting global ! For this job, the level required in English is B2


L'équipe

Vous rejoignez une Purple Team de trois personnes, en collaboration constante avec l'équipe plateforme d'une vingtaine de personnes (Infra, DevX, Tooling) et plus de 250 développeurs.

Vous avez une autonomie réelle, vous êtes compétent, vous êtes responsable, vous avez donc un vrai droit de regard et de conseil, et vous challengez tous les autres, du design jusqu'à l'implémentation d'un correctif en passant par le déroulé d’un incident.

Le scope est significatif, et vous suivez tout le cycle d'une vulnérabilité jusqu'au fix en production, souvent en quelques heures. Le but est de construire sur le long terme le tooling interne utilisé au quotidien par toute l'équipe et toute la R&D.

L'IA au cœur du tooling

Nous construisons notre propre tooling interne (25+ outils maison) et l'IA devient un élément central de nos workflows et nos méthodes de travail. Concrètement, vous passez moins de temps sur la plomberie et les sujets répétitifs, et plus de temps sur les sujets qui comptent vraiment, ceux passionnants et à forte valeur ajoutée.

Lucca en chiffres

• Bug Bounty YesWeHack : réponse moyenne 55 min, rewards jusqu'à 10K€.
• 300+ repos GitHub, 80 apps exposées, 1.2M+ utilisateurs.
• 10 000 builds CI/mois, 50 déploiements/jour, from fix to prod en moins de 60 minutes.

La stack

• .NET Core/Framework, Angular, SQL, et CI sur GitHub Actions
• SQL Server, Redis, RabbitMQ, Kubernetes (Talos, Cilium, eBPF, Kyverno, ArgoCD).
• Datadog, Grafana, CrowdStrike, Cloudflare 
• Tooling interne en Python (mostly côté sécu) Go et .NET

L’approche

• Security by-design first, et Zéro trust.
• Pas de sécurité périmétrique, défense en profondeur (ex : nos apps doivent pouvoir être résistantes sans WAF).
• Flat hierarchy, transparence à tous les niveaux, décisions collectives.

Vos missions : vous touchez à tout, et c'est le but !

• Offensif : pentester web & APIs, scénarios red-team, k8s, et animer remédiation.
• Défensif : fine-tuning SIEM & alertes, réponse incident, triage Bounty.
• Astreinte : obligatoires, on a un excellent rapport signal bruit.
• Tooling : construire et faire vivre nos outils maison, on automatise tout ce qui vaut le coup.
• Cloud & Hardening: durcir nos différents SaaS, IDP, infra, IT interne, etc.
• Challenger les mesures en place, accompagner la R&D, conseiller sur les best-practices.
• Veille : CVE, zero-days, nouvelles TTPs et exploits croustillants.