Analista de QA Sênior; Testes de Segurança em Mobilidade

Vaga aberta de Analista de QA Sênior (Testes de Segurança em Mobilidade Urbana). A empresa contratante é confidencial neste anúncio, e a seleção é conduzida pela Sylision.

Nível: senior.

Modelo de trabalho: 100% Remoto.

Contratação: tempo integral, CLT ou PJ.

Sobre a vaga:

O aplicativo de mobilidade urbana guarda localização em tempo real, trajetos, dados de pagamento tokenizados e documentos de motoristas. Um vazamento de trajeto expõe a rotina de uma pessoa, e uma falha de autorização na API pode deixar um passageiro ver a corrida de outro. Você vai definir e automatizar a estratégia de testes de segurança dessa plataforma, junto com o time de desenvolvimento.

Os casos mais valiosos não são os mais sofisticados. Teste de autorização por objeto, trocando o identificador da corrida na chamada, é o que mais encontra problema real. Também entram limite de requisições para impedir enumeração de contas, validação de token expirado, exposição de dado em resposta de erro e cabeçalhos de segurança. Cada achado precisa chegar com passo para reproduzir, gravidade e correção sugerida.

Como sênior, você decide o que roda a cada mudança no pipeline, o que roda toda noite e o que exige revisão manual. E mede se o programa funciona: tempo para corrigir cada gravidade, achados que voltam e problemas descobertos só em produção.

O que você vai fazer:

• Desenhar o plano de testes de segurança separando API, aplicativo, autenticação e dados
• Automatizar testes de autorização por objeto e por perfil com Postman e Rest Assured
• Integrar varredura de dependências e testes de API de segurança ao pipeline de CI/CD
• Testar limite de requisições, expiração de sessão e invalidação de token
• Verificar vazamento de localização e de dado pessoal em resposta, log e mensagem de erro
• Registrar achados com passo para reproduzir, gravidade e acompanhamento até a correção
• Orientar desenvolvedores e outras pessoas de QA sobre os principais riscos do OWASP

Requisitos:

• Conhecimento dos principais riscos de segurança de aplicações web e de API
• Automação de testes de API com Postman, Rest Assured ou ferramenta equivalente
• Teste ponta a ponta com Playwright ou Cypress, quando o risco está na interface
• Pipeline de CI/CD e execução de testes a cada mudança
• SQL para conferir efeito de uma falha nos dados
• Escrita clara de relatório de achado, sem alarmismo e sem omitir gravidade

Diferenciais:

• Ter feito teste de intrusão ou participou de programa de recompensa por falhas
• Conhecimento de LGPD aplicada a dados de localização
• Experiência com teste de carga em k6 para achar falhas sob estresse
• Prática em modelagem de ameaças com o time de desenvolvimento

Como é trabalhar aqui:

Vaga 100% remota, com contratação CLT, para cliente da Sylision com sede em São Paulo, SP. Achado de segurança é tratado com prioridade e fica visível para todo o time até ser corrigido. O programa é revisado todo mês com indicadores de qualidade, e as suítes são mantidas como código, com revisão. Na candidatura, informe a sua pretensão salarial.

Benefícios oferecidos pela empresa contratante:

• Ambiente colaborativo, com senso de comunidade e conquistas celebradas em equipe
• Trabalhe de qualquer lugar, com liberdade e flexibilidade
• Conexão global: convivência com times de diferentes países e culturas
• Apoio à saúde física com Total Pass e Mediquo
• Cuidado com a saúde mental pelo programa Team Care
• Contratação e jornada definidas com a empresa contratante

Tecnologias envolvidas:

• Testes de segurança
• OWASP
• Postman
• Playwright
• Rest Assured
• k6
• CI/CD
• SQL
• Git

Seus dados:

tratados conforme a LGPD, com remoção a qualquer momento, a pedido.