Software Engineer, Identity Platform

Вознаграждение: 215 000–285 000 долларов США в год

О OPENROUTER

OpenRouter — это ведущий уровень маршрутизации и инфраструктуры ИИ, который предприятия используют для доступа, управления и оптимизации лучших больших языковых моделей от различных поставщиков — без привязки, ограничений пропускной способности или ненужных затрат. Мы предоставляем возможности самым передовым командам ИИ в мире, давая им возможность быстро развиваться, уверенно масштабироваться и оставаться готовыми к будущему по мере развития моделей.

Поскольку внедрение ИИ в корпоративном секторе ускоряется, OpenRouter находится в центре того, как организации используют LLM для исследований, разработки продуктов и производственных нагрузок.

О РОЛИ

Каждый запрос, проходящий через OpenRouter, начинается с вопроса: кто это и что им разрешено делать? Миллионы разработчиков, тысячи организаций и растущий парк автономных агентов обращаются к нам через API-ключи, сеансы браузера, приложения OAuth, клиенты MCP и федеративные облачные рабочие нагрузки. Форматы учетных данных различаются, но каждый из них должен разрешаться в один и тот же надежный ответ.

Мы нанимаем нашего первого инженера-программиста платформы идентификации, который будет разрабатывать, создавать и владеть системой идентификации во шлюзе вывода OpenRouter, на торговой площадке и в быстро растущем наборе продуктов для агентов. Вы определите, как люди, организации, рабочие пространства, приложения и агенты проходят аутентификацию, к чему они могут получить доступ и как этот доступ делегируется, управляется и отзывается — от первого входа в систему сольного разработчика до внедрения в Fortune 500, настроенного непосредственно из их поставщика удостоверений. Если вам нравится пересечение безопасности, системного проектирования и продукта, это ваш шанс создать уровень доверия, который выведет OpenRouter на корпоративный уровень.

ЧТО ВЫ БУДЕТЕ ДЕЛАТЬ

• Объединить аутентификацию. API-ключи, ключи управления, сеансы браузера, токены OAuth и OIDC, а также входы в MCP разрешаются к одному принципалу с одной моделью авторизации. Отвечать за вход, MFA, passkeys и корпоративный SSO (SAML и OIDC) поверх этого, а также за полный жизненный цикл каждой выданной нами учетной записи: сфера действия, срок действия, ротация и возможность отзыва.

• Создать делегированный доступ для приложений и агентов. Вход через OpenRouter, OAuth для клиентов MCP с динамической регистрацией клиентов и предоставление разрешений, которые могут быть отозваны без изменения основного ключа. Приложения и агенты действуют от имени пользователя, никогда не обрабатывая секреты, а администраторы могут привязать это согласие к организации или рабочему пространству в управляемом парке.

• Перейти на бессерверные решения с идентификацией рабочей нагрузки. Конвейеры CI и облачные рабочие нагрузки обменивают токены своего поставщика удостоверений на краткосрочные учетные данные OpenRouter в соответствии с политиками федерации, определенными организацией, и внутренние службы аутентифицируют друг друга таким же образом. Никаких статических секретов для утечки или ротации.

• Создать компонуемую авторизацию. Единая модель разрешений, в которой каждый маршрут спрашивает «может ли этот вызывающий объект сделать это здесь?», вместо проверки имен ролей. Роли организации и рабочего пространства, роли зрителя и ограниченные роли, ключи автоматизации только для чтения и, со временем, настраиваемые роли. Отказ по умолчанию, принудительное применение на сервере и чистое отражение в пользовательском интерфейсе.

• Обеспечить бесперебойную корпоративную подготовку. Подготовка пользователей и групп SCIM, сопоставление групп с ролями, проверка домена и самостоятельный SSO, который работает с первого раза с Okta, Entra ID, Google Workspace и длинным хвостом поставщиков удостоверений. Партнерские платформы могут программно подготавливать учетные записи и ключи для своих собственных клиентов. ИТ-администратор должен иметь возможность подключить тысячи мест без подачи заявки.

• Определить основную модель идентификации. Пользователи, организации, рабочие пространства, членства, приложения и системы контроля доступа, а также то, как они компонуются. Четкие границы, понятная семантика владения и модель данных, которая поддерживает следующие пять лет корпоративных функций без переписывания.

• Защитить пользователей и их данные. Обнаружение мошенничества с идентификацией, процессы KYC и проверки, проверки усиления для конфиденциальных действий, защита от захвата учетной записи и сигналы злоупотребления, которые останавливают злоумышленников, не создавая трений для добропорядочных пользователей. Доступ по принципу наименьших привилегий к данным клиентов на всех поверхностях OpenRouter.

• Относиться к аудиту и правильности как к функциям. Система гарантирует, что каждая учетная запись имеет происхождение, каждое решение о доступе объяснимо, и каждое привилегированное изменение попадает в журнал аудита. Аутентификация остается быстрой и высокодоступной на горячем пути каждого запроса на вывод, с четкими, основанными на стандартах режимами отказа, которые разработчики могут отлаживать самостоятельно. Предоставление доступа, которое никто не может объяснить, является ошибкой.

• Работать кросс-функционально. Тесно сотрудничать с командой Trust & Safety по вопросам мошенничества и злоупотреблений, с командой Money по вопросам проверки, связанной с оплатой, и управления рисками, с Product по вопросам панели управления и процесса онбординга, а также с отделами продаж и обслуживания клиентов по вопросам корпоративных проверок безопасности и развертывания SSO.

ЧТО МЫ ИЩЕМ

• Более 5 лет опыта создания производственных систем идентификации, аутентификации или авторизации в SaaS, на платформе разработчика или в компании, специализирующейся на безопасности.

• Глубокое знание стандартов идентификации: OAuth 2.x (PKCE, обмен токенами, динамическая регистрация клиентов), OIDC, SAML, SCIM и JWT, а также способов их нарушения на практике.

• Опыт проектирования моделей авторизации (RBAC, ABAC или ReBAC) для многопользовательских B2B-продуктов, включая миграцию действующей системы от разовых проверок к единой модели.

• Практический опыт интеграции корпоративных поставщиков удостоверений (Okta, Entra ID, Google Workspace) и платформы аутентификации (Clerk, Auth0, WorkOS или аналогичных).

• Отличное знание TypeScript и SQL. Уверенность в работе с Postgres и создании сервисов с низкой задержкой и интенсивным использованием кэша на критически важном пути запросов.

• Сознательный подход к безопасности. Вы думаете в терминах моделей угроз, проектируете с учетом принципа наименьших привилегий и можете объяснить свои решения рецензенту по корпоративной безопасности.

• Вы хорошо работаете в команде. Вы будете ежедневно сотрудничать с командами Trust & Safety, Money, Product, Sales и CS и превращать запутанные корпоративные запросы в четкие системы.

• Высокая самостоятельность и ориентация на ИИ. Вы ежедневно используете кодирующих агентов и любите автоматизировать ручную работу по обеспечению безопасности и онбордингу.

ПЛЮСОМ БУДЕТ

• Вы развертывали корпоративный SSO и SCIM, которые прошли реальные проверки безопасности клиентов.

• Вы создавали федерацию идентификации рабочей нагрузки или бессерверную аутентификацию для CI и облачных рабочих нагрузок.

• Вы создавали OAuth, согласие и делегирование для агентов ИИ или клиентов MCP, действующих от имени пользователей.

• Опыт в области проверки личности, KYC или систем борьбы с мошенничеством и управления рисками (например, Stripe Identity, Persona, Sift).

• Опыт работы с движками политик или детальной авторизацией (например, OpenFGA, Cedar, OPA, системы типа Zanzibar).

• Вы помогли компании получить соответствие SOC 2, ISO 27001 или аналогичное.

• Вы являетесь существующим пользователем OpenRouter или создавали проекты в области инструментов ИИ.

Если вы считаете, что не соответствуете всем перечисленным критериям, но все же заинтересованы в этой вакансии, пожалуйста, подайте заявку. Никто не отвечает всем требованиям, и мы ищем человека, который будет рад присоединиться к команде.