En un coup d'œil
- A consolidé plusieurs outils de sécurité en une seule plateforme unifiée d'AppSec et de sécurité du cloud
- Intégré sur 95 dépôts, 31 registres de conteneurs et 9 environnements cloud
- Prend en charge les développeurs travaillant sur Ruby, Python et les services conteneurisés
- Renforce la sécurité de la chaîne d’approvisionnement logicielle et la visibilité des dépendances
- A remplacé les outils de sécurité dispersés, y compris Dependabot et Detectify
Enjeu
Alors que HeyJobs, l'entreprise derrière la plateforme de recrutement en pleine croissance, développait son organisation d'ingénierie, les outils de sécurité ont commencé à se développer organiquement en parallèle. Différentes équipes s'appuyaient sur des systèmes distincts pour surveiller les dépendances, analyser le code ou générer des alertes de sécurité. Bien que ces outils aient chacun abordé des parties du problème, ils ont créé un flux de travail de sécurité fragmenté de plus en plus difficile à gérer.
Les informations de sécurité étaient dispersées sur plusieurs plateformes, chacune produisant ses propres alertes et tableaux de bord. Les ingénieurs devaient naviguer entre les systèmes pour comprendre les risques, corréler les problèmes et décider ce qui nécessitait une attention particulière. Cela ralentissait le triage des vulnérabilités et rendait plus difficile le maintien d'une vue d'ensemble cohérente de la posture de sécurité de l'entreprise.
Boris Diebold, CTO chez HeyJobs, décrit à quoi ressemblait l'environnement avant l'adoption d'Aikido :
« Nous avions toutes sortes d'outils dispersés ; nous utilisions Dependabot, un outil distinct pour les alertes de sécurité, et quelques outils internes ».
Avec le temps, la prolifération d'outils a introduit une complexité et une surcharge supplémentaires. Chaque produit nécessitait sa propre configuration, ses propres workflows et sa propre gestion des alertes, rendant plus difficile pour les équipes de rester concentrées sur les problèmes de sécurité les plus importants.
Comme l'explique Boris :
« Il est toujours difficile de gérer cette prolifération, avec tous ces outils différents. »
Le rapport 2026 d'Aikido sur l'état de l'IA dans la sécurité et le développement a révélé que la prolifération des outils de sécurité est corrélée à un nombre accru d'incidents.
HeyJobs a commencé à chercher un moyen de simplifier la manière dont les vulnérabilités étaient détectées et gérées, tout en maintenant une couverture de sécurité robuste sur l'ensemble de leurs systèmes.
Solution : Une plateforme conçue pour fournir du contexte
Au cours de leur processus d'évaluation, l'équipe HeyJobs a exploré plusieurs outils de sécurité des applications, dont Snyk. De nombreuses solutions se concentraient fortement sur des domaines de sécurité spécifiques, tels que l'analyse des dépendances ou l'analyse d'infrastructure. Bien que ces outils offrent de solides capacités dans leurs domaines respectifs, leur adoption signifiait souvent l'ajout d'un produit supplémentaire à la pile de sécurité existante.
Pour HeyJobs, l'objectif n'était pas simplement d'introduire un autre scanner, mais d'améliorer la manière dont les informations de sécurité étaient transmises aux ingénieurs et à la direction. L'équipe souhaitait une plateforme capable de consolider les signaux de vulnérabilité provenant de l'ensemble de la pile de développement et de les présenter de manière à faciliter leur traitement par les équipes.
Comme l'explique Boris :
“C'est fondamentalement comme ça que nous avons commencé. Nous avons eu un très bon démarrage, je dirais, en connectant initialement quelques dépôts pour une période d'essai, et en constatant des bénéfices immédiats”, a déclaré Boris.
Aikido s'est démarqué en regroupant ces signaux dans un environnement unique. Au lieu de gérer plusieurs tableaux de bord et systèmes d'alerte, l'organisation d'ingénierie pouvait visualiser les risques liés au code, aux conteneurs et à l'infrastructure depuis une seule interface. Cela a considérablement simplifié la compréhension des problèmes nécessitant une attention particulière et la manière de les résoudre.
La vue consolidée a également donné à la direction une vue d'ensemble plus claire de la posture de sécurité de l'organisation. Les rapports et les métriques ont fourni une perspective de haut niveau sur les vulnérabilités, tout en permettant aux ingénieurs d'approfondir les détails techniques nécessaires à leur résolution.
Implémentation
HeyJobs a initialement introduit Aikido en connectant un petit nombre de dépôts comme preuve de concept. L'objectif était d'évaluer la capacité de la plateforme à révéler des informations de sécurité et à s'intégrer aux flux de travail d'ingénierie existants.
La valeur de la plateforme est rapidement devenue évidente.
“C'est fondamentalement comme ça que nous avons commencé. Nous avons eu un très bon démarrage, je dirais, en connectant initialement quelques dépôts pour une période d'essai, et en constatant des bénéfices immédiats”, a déclaré Boris.
Suite à cette évaluation réussie, HeyJobs a progressivement étendu le déploiement à l'ensemble de l'organisation d'ingénierie. Aujourd'hui, la plateforme surveille 95 dépôts, 31 registres de conteneurs et neuf environnements cloud connectés, tout en suivant également plusieurs domaines et API. Elle s'intègre directement à l'environnement GitHub de l'entreprise et transmet les alertes à des outils opérationnels tels que PagerDuty afin que les problèmes critiques puissent être rapidement identifiés.
Les capacités de remédiation d'Aikido ont également joué un rôle important dans son adoption.
Rodrigo Oliveira, Responsable d'équipe, Infrastructure Cloud et Sécurité, souligne l'impact de cette capacité :
“En particulier, la fonctionnalité AutoFix de la plateforme permet de résoudre automatiquement certaines vulnérabilités ou avec un effort manuel minimal de la part des développeurs.”
En combinant la détection, la priorisation et les conseils de remédiation au sein de la même plateforme, Aikido a permis à HeyJobs de passer d'alertes dispersées à un flux de travail de sécurité plus clair et plus exploitable.
Pourquoi HeyJobs a choisi Aikido
HeyJobs a choisi Aikido car il :
- Consolide plusieurs signaux de sécurité dans une plateforme unifiée
- Offre une couverture étendue sur le code, les conteneurs et l'infrastructure cloud
- Fournit une priorisation claire des vulnérabilités et des conseils de remédiation
- Intègre des capacités AutoFix qui réduisent l'effort manuel des développeurs
- Aide à gérer les risques liés à la chaîne d'approvisionnement logicielle et les vulnérabilités des dépendances
- Offre une expérience développeur intuitive qui favorise l'adoption
Résultats
Surface d'attaque réduite
L'un des résultats les plus importants de la mise en œuvre d'Aikido a été une réduction de l'impact potentiel des vulnérabilités sur les systèmes de HeyJobs. La surveillance continue des dépôts, des conteneurs et des configurations cloud permet d'identifier les problèmes plus tôt et de les résoudre avant qu'ils ne se propagent à travers les services ou les environnements.
Rodrigo Oliveira décrit l'amélioration en termes concrets :
« Je dirais que l'impact du rayon d'explosion de nos applications est actuellement considérablement réduit. »
Une visibilité précoce permet aux équipes de réagir plus rapidement lorsque des vulnérabilités apparaissent et réduit la probabilité que les faiblesses de sécurité restent inaperçues pendant de longues périodes. Cette approche proactive a aidé l'entreprise à renforcer sa posture de sécurité globale tout en maintenant la vélocité de développement.
Sensibilisation accrue des développeurs
Un autre résultat important a été l'accroissement de la sensibilisation à la sécurité chez les développeurs. En présentant les vulnérabilités avec des explications claires et des conseils de remédiation, Aikido aide les ingénieurs à comprendre l'impact des problèmes de sécurité et la manière dont ils doivent être traités. Cette visibilité modifie progressivement la façon dont les équipes abordent les décisions de développement. Au fil du temps, les développeurs deviennent plus conscients des risques courants dans des domaines tels que les configurations de conteneurs, les versions de dépendances et les configurations d'infrastructure.
Rodrigo Oliveira l'illustre avec un exemple pratique tiré du travail de développement quotidien :
« Il est désormais clair pour tous qu'une image Docker avec un accès root ne serait peut-être pas une excellente chose. »
De telles informations encouragent les ingénieurs à adopter des configurations par défaut plus sûres et à améliorer les pratiques de sécurité au sein de l'organisation sans introduire de friction dans les workflows de développement.
Priorisation claire des vulnérabilités
De nombreux outils de sécurité génèrent de grands volumes d'alertes sans expliquer clairement leur impact ou la manière dont elles devraient être corrigées. Cela oblige souvent les ingénieurs à passer du temps à enquêter sur les problèmes avant de pouvoir déterminer s'ils sont réellement importants. Aikido relève ce défi en fournissant un contexte supplémentaire autour des vulnérabilités, y compris leur gravité, leur impact potentiel et les étapes de remédiation recommandées. Cela permet aux développeurs de comprendre rapidement quels problèmes nécessitent une attention et comment ils doivent être traités.
Rodrigo Oliveira explique la différence que cela apporte :
« Certains outils manquent d'informations sur la manière de corriger une vulnérabilité et sur son impact potentiel, mais avec Aikido, nous savons à quoi nous attendre. »
Grâce à une priorisation et des conseils de remédiation plus clairs, les ingénieurs de HeyJobs sont en mesure de concentrer leurs efforts sur les vulnérabilités les plus importantes.
Sécurité renforcée de la chaîne d'approvisionnement
Pour l'équipe de direction de HeyJobs, la sécurité de la chaîne d’approvisionnement logicielle reste l'une des préoccupations les plus critiques. Les applications modernes dépendent fortement des dépendances open source, et les vulnérabilités au sein de ces dépendances peuvent rapidement affecter plusieurs services. Aikido offre une visibilité plus approfondie sur ces risques en analysant les arbres de dépendances et en identifiant les vulnérabilités à travers les dépendances directes et transitives. Cela permet à l'équipe de déterminer rapidement si les vulnérabilités récemment divulguées affectent leurs systèmes et l'urgence de la remédiation.
Boris résume l'importance de cette capacité :
« Je pense que l'un des problèmes clés qui rend difficile de dormir la nuit sont les attaques de gestion de la chaîne d'approvisionnement. »
Grâce à une meilleure visibilité sur les vulnérabilités des dépendances et les risques liés à la chaîne d'approvisionnement, l'équipe a désormais une plus grande confiance dans la détection et le traitement rapide de ces menaces.
.png)
Comment HeyJobs étend son utilisation d'Aikido
Déjà utilisé
- Aikido Code (SAST, SCA, détection de vulnérabilités de la chaîne d'approvisionnement, et plus)
- Aikido Cloud (CSPM, analyse de sécurité des conteneurs, et plus)
- Capacités de remédiation AutoFix
Prochaine évaluation
Métriques de sécurité qui favorisent l'amélioration
Aikido fournit également à HeyJobs des métriques de sécurité significatives qui aident à suivre les améliorations au sein de l'organisation d'ingénierie. Ces informations permettent aux équipes de direction de surveiller l'évolution des vulnérabilités au fil du temps et de mesurer les progrès par rapport aux objectifs de sécurité internes.
Les métriques de sécurité générées par la plateforme sont examinées régulièrement et utilisées pour évaluer l'efficacité avec laquelle les équipes traitent les vulnérabilités au sein de leurs services. Cette approche basée sur les données aide l'organisation à considérer la sécurité comme une discipline d'ingénierie mesurable plutôt qu'un objectif abstrait.
Verdict final
Pour HeyJobs, Aikido est devenu un composant central de sa stratégie de sécurité. En regroupant les informations sur les vulnérabilités au sein d'une plateforme unique, l'entreprise a obtenu une visibilité plus claire sur les risques de sécurité tout en réduisant la charge opérationnelle associée à la gestion de multiples outils.
Les développeurs bénéficient de directives de remédiation plus claires et de fonctionnalités d'automatisation telles qu'AutoFix, tandis que la direction obtient une vue complète de la posture de sécurité de l'organisation. Cette combinaison permet à HeyJobs de faire évoluer son organisation d'ingénierie tout en maintenant un programme de sécurité proactif et bien géré.
