Kỹ sư Bảo mật Ứng dụng (AppSec)

Phúc lợi

• Đóng BHXH, BHYT, BHTN theo quy định của pháp luật lao động
• Nghỉ phép năm và nghỉ lễ, Tết hưởng nguyên lương theo Bộ luật Lao động
• Ký hợp đồng lao động rõ ràng; lương thoả thuận theo năng lực, ghi trong thư mời nhận việc
• Làm trên stack đang chạy production: TypeScript, React, Cloudflare Workers, D1, R2, Queues, Durable Objects
• Dùng AI hằng ngày — Claude, Gemini, Workers AI — trong sản phẩm lẫn trong quy trình làm việc
• Mã có test tự động và được rà trước khi lên production
• Thiết bị làm việc, chế độ làm từ xa, thưởng: trao đổi cụ thể khi phỏng vấn

Mô tả công việc

• Rà soát mã và kiến trúc theo đợt: phân quyền, tách dữ liệu giữa các khách thuê, xác thực, phiên và cookie.
• Củng cố đăng nhập bằng passkey (WebAuthn), quản lý phiên và quyền vào khu vực quản trị.
• Kiểm tra CSP, CORS, chống CSRF và SSRF; xác minh chữ ký webhook của các nền tảng và cổng thanh toán.
• Thiết kế quy trình xoay vòng khoá, lưu bí mật và mã hoá token.
• Viết bài test cho từng lỗ hổng đã vá để lỗi không quay lại.
• Hướng dẫn đội phát triển viết mã an toàn; theo dõi lỗ hổng trong thư viện phụ thuộc.

Yêu cầu công việc

• Từ 3 năm bảo mật ứng dụng web, hoặc phát triển phần mềm với trọng tâm bảo mật.
• Nắm vững OWASP Top 10, biết cả cách khai thác lẫn cách phòng thủ trên thực tế.
• Đọc được mã TypeScript/JavaScript và tự viết bản vá.
• Hiểu OAuth 2.0, OpenID Connect, WebAuthn và quản lý phiên.

Ưu tiên ứng viên

• Có chứng chỉ OSCP, OSWE hoặc kinh nghiệm bug bounty.
• Hiểu quy định của Việt Nam về bảo vệ dữ liệu cá nhân.

Thời gian & địa điểm làm việc

• Thời gian làm việc: Giờ hành chính; lịch làm việc cụ thể trao đổi khi phỏng vấn.
• Địa điểm: TP. Hồ Chí Minh, Việt Nam — địa chỉ văn phòng cụ thể được gửi kèm thư mời phỏng vấn.
• Báo cáo trực tiếp cho: Ban điều hành.

Hồ sơ ứng tuyển

• Thông tin liên hệ và vài dòng giới thiệu bản thân (bắt buộc). CV không bắt buộc — có thì đính kèm PDF, DOC, DOCX, JPG hoặc PNG, tối đa 10 MB.
• Đường dẫn GitHub, portfolio hoặc sản phẩm bạn đã làm — một dự án thật nói được nhiều điều hơn một trang CV.
• Nếu có: kết quả công việc đo được (doanh số, số khách chăm sóc, chiến dịch, bài viết) — ghi vào phần giới thiệu.
• Bằng cấp, chứng chỉ (nếu có) — nộp khi nhận việc, không cần gửi trước.
• SOZO không thu bất kỳ khoản phí nào và không yêu cầu bạn gửi ảnh CCCD qua mạng xã hội.

1. Bước 1:Nộp hồ sơ
2. Bước 2:Sàng lọc & trao đổi
3. Bước 3:Phỏng vấn
4. Bước 4:Nhận việc