Senior Backend Engineer — Authentication & Security Platform (Banque digitale) — Tokyo

Prérequis de localisation

Vous devez déjà résider au Japon et disposer d'une autorisation de travail valide. Nous ne prenons en charge ni la relocation ni le transfert de visa depuis l'étranger pour ce poste. Les candidatures depuis l'étranger ne seront pas étudiées.

Le contexte

Nous accompagnons une banque digitale régulée (supervisée par la FSA) qui lance sa plateforme au Japon. Vous rejoignez l'équipe qui construit le socle Authentication & Authorization : login OAuth 2.0/OIDC, cycle de vie des tokens et gestion des identités sur quatre canaux bancaires (back-office, apps clients, APIs BaaS, intégrations partenaires). L'équipe est distribuée entre le Japon, le Vietnam et l'Inde ; le poste est ancré sur Tokyo, avec un fonctionnement remote-friendly. Anglais = langue de travail, japonais non requis.

Ce que vous construisez

• Token lifecycle — tokens liés DPoP (RFC 8693), silent refresh, gestion de session
• Passkey / FIDO2 — flux WebAuthn (enregistrement, login), step-up authentication
• mTLS — authentification service-to-service par certificat avec des plateformes financières externes
• Librairie de sécurité partagée — starter Spring Boot fournissant des filtres d'auth standardisés
• Tests d'intégration — suites Karate couvrant tous les flux d'auth à l'échelle
• Monitoring — observabilité des events d'auth, détection d'anomalies, complétude de l'audit trail

Profil recherché (must-have)

• Résider actuellement au Japon avec une autorisation de travail valide — ni relocation ni sponsoring de visa depuis l'étranger pour ce poste
• 10+ ans en ingénierie backend server-side, dont 5 à 7 ans en Kotlin ou Java + Spring Boot
• Spring Security (filter chains, OAuth2 Resource Server) et solide maîtrise d'OAuth 2.0 / OIDC
• Au moins l'un de : DPoP (RFC 9449), mTLS (RFC 8705), PKCE, FIDO2 / WebAuthn — + JWT (claims, JWKS, rotation de clés)
• Redis (sessions, distributed locking, cache) et PostgreSQL (schéma, migrations)
• AWS (ECS/Fargate, Secrets Manager) et Terraform ou IaC équivalent
• Solide compréhension de l'OWASP Top 10 et du développement web sécurisé
• Anglais professionnel (lu, écrit, parlé) — langue de travail. Japonais non requis

Atouts appréciés

• Authlete ; FAPI 2.0 Security Profile
• Microsoft Entra ID (fédération SAML/OIDC, FIDO2)
• Cloudflare / Akamai (terminaison mTLS, WAF, forwarding de certificats clients)
• Background fintech / banque régulée (FSA, maker-checker, audit logging)
• Notions de japonais (lecture / communication basique)

Pourquoi ce rôle

• Une vraie banque régulée (supervisée FSA) — pas une startup, pas un projet jouet
• Des standards de sécurité de pointe : FAPI 2.0, DPoP, WebAuthn/FIDO2
• Forte autonomie — vous possédez des canaux d'authentification entiers, de bout en bout
• Collaboration internationale (Japon, Vietnam, Inde) sur une plateforme greenfield

Les modalités

CDI. Poste ancré sur Tokyo, équipe distribuée, fonctionnement remote-friendly. Support à la relocation possible selon profil.