Vitsliputsli

Можно, но сперва изучите вакансии, чтобы иметь представление о рынке.
Несмотря на повсеместный пиетет перед этой профессией, она вполне себе обычная. Это труд схожий с обычным тестированием, скурпулезный и монтонный. Как и в разработке, на первых парах в нем нет места для творчества, и это изменится лишь если повысите квалификацию и устроитесь в компанию, которая поощряет исследования.
Знания нужные пентестеру те же, что и разработчику. Так как безопасное ПО создает именно разработчик. Другое дело, что на практике разработчики знают мало, из-за узкой специализации и игнорирования вопросов безопасности. Так, скорее всего, по фронту вам дадут только знания безопасности во фронте, а это очень маленькая часть. Да, и на беке зачастую многие вопросы безопасности игнорируются, тупо изза незнания. Поэтому хотя эти знания и необходимы, в разработке с вас будут требовать чаще иное, например структуризация кода, которая пентестеру не интересна.

Стоит ли подавать резюме на мидл или синьор разработчика или лучше поработать джуном.

Не стоит. Мидл и тем более сеньор, который придет на собеседование и будет с опаской поглядывать на собеседующего, а вдруг что.... Такой никогда не пройдет собеседование.
Если же вы уверены в своих силах, то в чем проблема?

Подходите ли вы на конкретную вакансию, сможете узнать только на собеседовании, и уж точно не у неизвестных из интернета. Обычно на собеседовании палками не бьют, так что не бойтесь, а иногда могут и дельное что-то подсказать, чего вам не хватает для получения работы. Причем, если в одном месте пройдете очень плохо, это не значит, что в другом вы не надйете отличную работу.

Вполне могут попросить показать код, поэтому неплохо что-нибудь держать в github на такой случай. Интересоваться будут как вы пишите, а не как оно работает. В зависимости от языка, вашего уровня и адекватности проверяющего будут обращать внимание на разные вещи.
"развитый GitHub" это когда там лежит что-то, что используют другие люди и чем большее кол-во, тем лучше. Или пулреки в крупные проекты. Если там будет гора бесполезного мусора, то это никому не интересно.

Ситуация мягко говоря странная, поэтому странные вопросы: проверьте, что у вас действительно заключен договор - есть ли у вас договор подписанный простой или электронной подписью? Понимаю, что там чтото на Госуслугах пишется, но все же. Договор трудовой или ГПХ? В порядке бреда: не может ли быть так, что на вас оформлена новая карта и зарплата идет туда. И, по новым законам, есть еще и волонтерство, с договором по котором работник несет такие же обязанности, что и по трудовому, но ему можно еще и не платить.
В принципе, за нарушение дисциплины труда, вас могут уволить, если захотят, но видно не хотят. Но при этом, понятное дело, зарплату платить обязаны. За невовремя выплаченную зарплату компания попадает на штрафы. Также запрещается работа из-за пределов территории России. И очень большие штрафы, если работник числится в компании, но не является налоговым резидентом России.
Это очень странная контора будет, если ей и на штрафы тоже плевать.

Не хотите, чтобы работодатель увидел резюме - создавайте его без указания имени и точного названия компании.
Хоть работодатель и пытается читать мысли, но не всегда успешно, поэтому вполне ожидает, что работник сперва обратиться к нему, если чего-то не хватает. Если работодатель "обиделся", что вы обновили резюме, то не стоит переживать о таком работодателе. Хоть это и не идеальное поведение со стороны работника, но я практически не видел случаев, когда прежде чем уволить кому-то давали четкие условия, что нужно что-то улучшить и т.п.
В плане, что сказать сейчас - есть такая замечательная вещь, как мониторинг рынка. Специалист должен понимать, что потребно на рынке труда именно сейчас, а что нет. Ну и разумеется, что и сколько стоит. Это нормально, ведь если годами "вариться" в одной компании, то выйдя на рынок можно обнаружить, что твои навыки никому не нужны вовсе.

Все зависит от компании.
Знаю нескольких с общим средним образованием, работавших тимлидами на крупную компанию, предоставляющую аутсорсинговые услуги крупнейшим банкам, страховым компаниям, почтовым службам и т. п. Компания экономила на сотрудниках, поэтому разработчиков набирали в бедных, среднего размера городах, и их профессиональный уровень был невысок.
В крупных городах не встречал, хотя и разговор об образовании заходит редко.

Будет тяжело. 1С - это не язык общего назначения, он достаточно специализирован, большую часть придется изучать с нуля. Для разработчика изучение нового языка - это просто освоение другого инструмента (если, конечно, у него есть хорошая база), но даже в этом случае не всякий работодатель адекватно воспринимает такой переход (могут относиться как к джуну). Для 1С тем более.
20 лет на одном месте - это очень много. Таким людям сложнее осваивать новое, не только новый язык, любые новые подходы. А если компания за 20 лет не меняла свои подходы в разработке, то еще хуже.
Многие работодатели смотрят на возраст. Некоторые кичатся своим "молодым проактивным коллективом". Некоторые тимлиды считают, что после 30, 35, 40 способность к обучению падает вплоть до необучаемости. Но если город большой, то обязательно найдете компанию, где весь коллектив 40+, либо компанию где нет подобных стереотипов.
В конечно итоге, все зависит только от вас. Если не утратили способность изучать новое, и есть желание, то все получится.

Если в проекте есть критичные места, которые нужно ускорить, но упираемся в скорость работы интерпретатора php, то берём go.
Go достаточно простой и высокопроизводительный язык. Но скорость разработки на нем значительно ниже, чем на php.

Да, нужно именно теоретическое понимание. Чтобы когда на ревью джуну скажут, что он нарушил Single Responsibility, он не просил объяснений о чем вообще идет речь и тем более на стал доказывать, что его решение лучше. Нормально, если джун несколько "плавает" в понимании этих принципов (четкое понимание придет с опытом), ненормально, если считает, что с него требуют что-то лишнее.

Достаточно распространённая практика, как правило, так страхуются, чтобы можно было уволить легко. Или как вариант устраивают по ГПХ. Если это лучший вариант, то пробовать. Но они вам ничего не должны, соответственно могут задерживать зп, платить 1 раз в месяц, в худшем случае кинуть. По закону, отсутствие договора это проблема работадателя, но то, что работали, нужно будет доказывать вам, если, конечно, захотите с этим связываться.

Как понять достоин ли ты более лучшей зар.платы или ещё не дорос и не надо высовываться даже?

Сходить на собеседование, иных вариантов просто нет. Пока вы сидите и мечтаете, новая хорошо оплачиваемая работа сама к вам не придет.
Работать с api, писать свой api - это must have для разработчика, но насколько качественно вы это делаете? Насколько хорошо вы знаете указанный стек? (вопрос риторический, собеседования помогут на него ответить). Symfony и Laravel это неплохо. Clickhouse - очень интересно, вы его знаете, понимаете? Сами формировали работу с ним? Или просто используете, и для вас это непрозрачно?
Английский - это проблема многих русскоязычных, в большинстве случаев умения читать техническую документацию достаточно, во всяком случае на первых парах.
С удаленкой сложнее, после карантина работодатели стали более лояльны в этом плане, появилось больше вакансий, но сейчас опять смотрят с подозрением, т.к. производительность все же ниже для большинства.
Вопросы на собеседованиях помогут вам ориентироваться в том что нужно сейчас, зачастую бывают вопросы которые считают дико важными, а чтобы изучить их вам понадобится 1-6 часов. Пробуйте.

Все компании разные, в том числе и крупные. И в крупной компании фронт и бек могут быть совмещены, например если попадете в команду разрабатывающую внутренний и маленький компонент. Легче и нудно будет зависеть от компании, а зачастую даже от команды внутри компании. Другое дело, что в крупных компаниях скорее всего не будете клепать сайтики, это будет совсем другое направление, и требования к беку там будут совсем иные, чем те, к которым вы привыкли.

Вы так пишите, будто хотите чтобы вас пожалели и поддержали. Это лучше к близким.

Вы бы стали работать при таких условиях дальше, при том что уже работаете полтора года и такие вещи случается довольно часто?

При условии 30к? Насколько это соответствует вашим навыкам никто здесь не знает.
По поводу просьбы исправить свои косяки в нерабочее время - да, вы не обязаны этого делать в нерабочее время, но и с точки зрения работодателя вы по факту не сделали свою работу в рабочее время. И тем более, если исправление ошибки не ждало рабочего дня. Кто в итоге ее исправил? Вы в рабочий день? Или ваш начальник сам разбирался?
Как вы этот конфликт будете решать зависит от вас, для кого-то это нормально, кому-то это компенсирует зарплата или иные моменты.

Если же хотите не только погрустить, но и что-то делать, то как уже написали, идите на собеседования и от этого уже отталкивайтесь. Менять что-либо всем страшно, но без этого ничего не изменится, подумайте что будет через 5, 10 лет.

Порог входа такой же как везде. В одной компании, как написали "одна рука и один глаз, можно без ног", в другой вас будут спрашивать об инструментах автоматизации и методологиях тестирования.

Если вы собираетесь хоть чего-то добиться в жизни, то текущая ситуация (если она действительно такова) просто идеальна. Вы пишите, что вы премидл на позиции мидла, это позволит вам развиваться, быстрее сделать еще один шаг и стать мидлом.

Отмечу еще, что дело не в "расходной статьи бюджета", а в принципе отношения к IT. Есть IT-интеграторы, компании, работа которых по сути это IT, которые умудряются экономить на бюджете IT. Разумеется со всеми вытекающими: не высокая квалификация сотрудников, высокая текучка, непрофессиональный менеджмент, и как следствие малофункциональный забагованный софт, сбойные серверы, и сроки отодвигающиеся на месяцы (!). При этом, такие компании существуют на рынке, работают с госсектором, социальными учереждениями и коммерческими компаниями, не хочу думать как они получают эти контракты.