Techstream · Bruxelles
La livraison zero-touch pour les plateformes réglementées, avec les preuves à l’appui.
Felipe Sotille, Architecte et ingénieur DevSecOps
Dix-sept ans en ingénierie logicielle, façonnés par le travail chez SWIFT et Swissquote ; plus récemment l’orchestration de releases zero-touch chez SWIFT. Je conçois la même chose pour votre plateforme, et je livre encore du code.
§ 01, En chiffres
Source : dev.felipe.sotille.com
| 17+années d'ingénierie logicielle | 40+apps Java passées en orchestration de releases zero-touch | 300+VM en patching orchestré, 40 % plus rapide | 2,5 Mdenregistrements financiers migrés vers Oracle | 100 k+utilisateurs simultanés sur une plateforme Kafka/Vert.x |
ExpérienceSWIFT, Bruxelles (2019–2024 ; 2025–aujourd’hui) · Swissquote, Genève (2024) · Eleven Sports, Lisbonne (2018–2019)
Source : dev.felipe.sotille.com
§ 02, La gate
Un exemple de politique, simplifié ; il ne vient d'aucune plateforme sur laquelle j'ai travaillé.
OPA · Rego
Chaque release passe par la même gate. Code écrit par des agents compris.
package release.gate
default allow := false
allow if {
input.sbom.format in {
"CycloneDX", "SPDX"
}
input.artifact.signature.verified
input.scans.sast == "pass"
input.scans.dast == "pass"
# applies to agents too
input.review.human_approvals >= 1
}§ 03, Qui
- Brésil·2008–2018
- Lisbonne·2018–2019
- Genève·2024
- Bruxelles·2019–2024, 2025–
Brésil, Lisbonne, Genève, Bruxelles.
J’ai commencé au Brésil en 2008, en écrivant du Java pour WPLEX, Metaway, Città et Allcance. En 2018, j’ai dirigé le backend d’Eleven Sports à Lisbonne : CQRS et événements sur Vert.x et Kafka, Kubernetes sur GCP, des centaines de milliers d’interactions simultanées. À partir de 2019, j’étais chez SWIFT à Bruxelles, pour faire passer le monolithe Identity Management en microservices sans interrompre le service.
En 2024, j’ai dirigé une migration de 2,5 milliards d’enregistrements vers Oracle chez Swissquote. Depuis 2025, je suis de retour chez SWIFT comme DevSecOps Architect (Customer Success Architect) : j’y ai fait passer plus de 40 apps Java en orchestration de releases zero-touch. J’y livre en mode agent-first, et mon propre travail avec des agents de code passe par des tâches cadrées, une revue humaine et les mêmes gates de sécurité que le code écrit par des humains. La version longue est sur la page À propos.
§ 04, Ce que je fais
Périmètre fixe : 04, 05
Six choses que je fais, et ce que vous avez à la fin de chacune.
- 01
Orchestration de releases et conception de plateforme de livraison sécurisée
Un pipeline que les équipes suivent parce qu’il coûte moins cher que de le contourner.
- 02
Sécurité de la supply chain logicielle et preuves d’audit
Des preuves qu’un auditeur peut lire sans réunion.
- 03
Agents de code sous gouvernance
Des tâches cadrées, des règles de revue et des gates qui traitent le code des agents comme du code.
- 04
Diagnostic de maturité DevSecOps
Une position notée par domaine et une feuille de route priorisée, en deux semaines.
- 05
Ateliers et coaching
Une équipe qui fait tourner le pipeline sans moi, en deux jours.
- 06
Ingénierie hands-on
Java 21 et Spring chez Swissquote, Vert.x et Kafka à grande échelle.
§ 05, Travail ouvert
Apache-2.0
Neuf frameworks, Apache-2.0, publiés sous Techstream.
- 01
DevSecOps Framework
Pose les principes, le cycle de vie et le SDLC sécurisé, avec des contrôles tout au long du pipeline.
- 02
Secure CI/CD Reference Architecture
Un modèle de menaces du pipeline, avec des contrôles pour SAST, DAST, SCA, secrets et IAM du pipeline.
- 03
Release Orchestration Framework
Gouverne les déploiements et contrôle la livraison entre environnements.
- 04
Software Supply Chain Security Framework
Couvre les quatre points où une supply chain est attaquée : dépendances, systèmes de build, artefacts, environnements de déploiement.
- 05
DevSecOps Maturity Model
Cinq niveaux sur huit domaines, un questionnaire de notation et une analyse d’écarts.
- 06
Compliance Automation Framework
Transforme les contrôles en policy as code, collecte les preuves et continue de surveiller.
- 07
DevSecOps Methodology
Quatre phases, évaluer, concevoir, mettre en œuvre, optimiser, avec les playbooks de chacune.
- 08
AI DevSecOps Framework
Sécurise la livraison assistée par IA et agentique : agents de code dans les pipelines, défense contre l’injection de prompt, autorisation des agents.
- 09
Forensics & Incident Response Framework
Architecture des preuves et playbooks d’investigation pour les incidents CI/CD, cloud, supply chain, identité et agents IA.
techstream-docs les relie ; techstream-learn contient les labs.
§ 06, De personnes avec qui j'ai travaillé
Trois sur cinq, dans l'anglais d'origine.
He does not merely automate tasks; he engineers repeatable, resilient delivery systems that improve deployment reliability, enforce secure coding standards and reduce operational risk.
His ability to solve complex technical challenges and deliver scalable solutions in such a demanding environment reflects a deep understanding of modern software engineering practices.
A technical reference and mentor for multiple engineering teams, frequently sought out for guidance on secure software delivery and release orchestration.
§ 07, Écrits
Medium · Techstream Weekly · six volumes
Ce que j’ai publié, et ce que j’écris encore.
- mai 2026
Why Your AI Agent Is the Next SolarWinds: Supply Chain Security for the Agentic Era
- mai 2026
The Four Layers of Software Supply Chain Integrity
- avr. 2026
The 4-Phase DevSecOps Transformation
Tous les articles sur Medium →
Techstream Weekly
Plateforme, livraison sécurisée et agents de code, une fois par semaine.
Cinq sujets chaque vendredi, un fait et un avis par sujet, pour ceux qui livrent du logiciel sur des plateformes réglementées. Plus un mot de moi.
9 octobre 2026
Agents under the same gates
Why the first question about coding agents in a regulated pipeline is not “how much” but “which gates”, and what changed this week in supply chain, platform and Java.
§ 08, M'écrire
Dites-moi ce que vous livrez et ce qui coince.
Je lis et je réponds moi-même à chaque message.