Supabase fournit en quelques minutes le backend dont une application a besoin : base PostgreSQL, authentification, stockage de fichiers, temps réel et fonctions serverless. C'est le socle par défaut des applications construites avec Lovable, Bolt ou v0. Gratuit pour démarrer, 25 dollars par mois ensuite, code source sous licence Apache 2.0 et hébergement au choix, Paris et Francfort compris.
Supabase est une plateforme de développement bâtie autour de PostgreSQL. En créant un projet, tu obtiens en quelques minutes une base de données, un système d'authentification, du stockage de fichiers, des abonnements temps réel et des fonctions serverless, le tout accessible par une API générée automatiquement.
C'est devenu le backend par défaut du vibe coding. Quand tu demandes une application à Lovable, Bolt ou v0, il faut bien que les données soient stockées quelque part, que les utilisateurs se connectent et que les fichiers soient hébergés : Supabase remplit ces trois rôles, et les trois outils proposent une intégration officielle. L'éditeur avance que plus de 60 pour cent des nouvelles bases créées chez lui sont lancées par un outil d'IA.
Côté IA propre, la plateforme joue sur deux tableaux. L'extension pgvector met les embeddings directement dans la base métier, ce qui évite d'ajouter une base vectorielle séparée pour faire du RAG. Et un serveur MCP officiel permet de piloter ses projets depuis Claude ou Cursor. Le point à retenir avant de brancher quoi que ce soit : Supabase déconseille explicitement de connecter ce serveur à une base de production.
Qui est derrière Supabase ?
Supabase est fondé en janvier 2020 par Paul Copplestone et Ant Wilson, qui se sont rencontrés au programme Entrepreneur First à Singapour. Copplestone venait de construire une application de messagerie sur Firebase et voulait la même simplicité sans renoncer à PostgreSQL ni au code ouvert. Le principe de départ n'a pas changé : prendre Postgres, l'entourer d'un ensemble choisi de services open source, et proposer le tout en service géré tout en gardant chaque brique auto-hébergeable.
L'entité qui contracte avec les utilisateurs est domiciliée à Singapour, filiale d'une maison mère américaine, avec un droit applicable californien. La société est entièrement distante, sans siège déclaré, et revendique plus de dix millions de développeurs inscrits.
Janvier 2020
Paul Copplestone et Ant Wilson fondent Supabase avec un premier tour d'amorçage de 100 000 dollars.
Été 2020
Passage par l'accélérateur Y Combinator, dans une promotion entièrement à distance.
Avril 2022
Sortie de la bêta et passage en disponibilité générale.
Octobre 2025
Série E de 100 millions de dollars, valorisation à 5 milliards. Lancement du serveur MCP distant.
Avril 2026
Publication des agent skills officiels, avec les mesures de réussite par agent.
Juin 2026
Série F de 500 millions de dollars menée par GIC, valorisation à 10,5 milliards. Plus d'un milliard levé au total.
Pour qui ?
✓ Idéal pour
Ceux qui vibe-codent une application et veulent posséder leur base, avec la possibilité de tout auto-héberger un jour.
✕ À éviter si
Tu ne veux rien apprendre du modèle relationnel : mal configurer les règles d'accès expose publiquement toute ta base.
Fonctionnalités clés 7
Une vraie base PostgreSQL, pas un ersatz
5/5
Chaque projet reçoit une base PostgreSQL dédiée, avec ses jointures, ses contraintes, ses index et son écosystème d'extensions. C'est la différence de fond avec Firebase et ses documents : tu peux partir, exporter, et brancher n'importe quel outil qui parle SQL. La contrepartie est qu'il faut savoir modéliser en relationnel, ce que le no-code ne dispense pas d'apprendre.
API REST et GraphQL générées automatiquement
4.5/5
Dès qu'une table est créée, elle est exposée en API REST par PostgREST et en GraphQL par pg_graphql, sans écrire une ligne de code d'API. C'est ce qui permet à un générateur d'applications de câbler le front en quelques secondes. C'est aussi précisément pour cette raison qu'oublier les règles d'accès est catastrophique : la table est publique immédiatement.
Recherche vectorielle native avec pgvector
4/5
L'extension pgvector met les embeddings dans la même base que tes données métier, avec index HNSW et recherche hybride combinant sémantique et mots-clés. Tu évites d'ajouter une base vectorielle séparée pour faire du RAG. En pratique il faut encapsuler les requêtes dans des fonctions Postgres appelées via rpc, car l'API générée ne gère pas directement les opérateurs vectoriels.
Serveur MCP officiel avec garde-fous documentés
4.5/5
Un serveur MCP hébergé permet à Claude, Cursor ou Codex d'interroger la base, gérer les migrations, lire les logs et déployer des fonctions. Supabase documente clairement ses propres avertissements : ne pas le brancher sur la production, activer le mode lecture seule, restreindre à un projet précis. C'est rare et honnête de la part d'un éditeur.
Agent skills officiels, et leurs chiffres publiés
4/5
Supabase publie des compétences installables pour les agents de code, avec ses propres mesures de réussite. Le chiffre le plus intéressant est contre-intuitif : sur Claude Code avec Opus 4.6, brancher le serveur MCP seul fait tomber le score de 58 à 50 pour cent. Il faut y ajouter la compétence pour remonter à 67 pour cent. Brancher un MCP ne suffit donc pas.
Authentification complète prête à l'emploi
4.5/5
Inscription par e-mail, connexions sociales, liens magiques, SSO SAML, et depuis 2026 les passkeys en bêta ainsi qu'un serveur OAuth 2.1 qui fait de ton projet un fournisseur d'identité pour des agents. C'est la brique la plus pénible à écrire soi-même correctement, et elle est incluse dès le palier gratuit avec 50 000 utilisateurs actifs mensuels.
Code ouvert et auto-hébergement possible
4/5
Le code est publié sous licence Apache 2.0 et l'ensemble peut tourner sur ton propre serveur via Docker. C'est la garantie de sortie qui manque à la plupart des plateformes concurrentes. À nuancer sérieusement : en auto-hébergé, tu perds les sauvegardes gérées, le branching, l'API de gestion, et le support se limite à la communauté.
Les limites, la partie honnête 5
Les règles d'accès sont le vrai point de rupture
Supabase écrit lui-même que le row level security est puissant mais complexe pour qui découvre le principe. Une table sans règle est lisible et modifiable par n'importe quel client via l'API générée. Une faille référencée en 2025 a exposé des applications générées par IA pour cette raison exacte.
Les projets gratuits se mettent en pause
Un projet du palier gratuit sans activité suffisante sur sept jours glissants est mis en pause. Quelques requêtes par jour suffisent à l'éviter, et la restauration reste possible pendant un an. Les projets payants ne sont jamais suspendus.
La facture grimpe par empilement
Les 25 dollars du palier Pro n'incluent que 10 dollars de crédits de calcul, soit une seule petite instance. Chaque projet supplémentaire, chaque montée en puissance et chaque dépassement de stockage ou de bande passante se facturent à part. Le palier suivant saute à 599 dollars.
Rien en français
L'interface, la documentation et le support sont exclusivement en anglais. Pour un débutant francophone qui découvre en même temps le relationnel, les règles d'accès et les migrations, c'est une marche supplémentaire réelle.
Aucun engagement écrit sur l'entraînement
La politique de confidentialité indique que les requêtes envoyées à l'assistant IA et leurs réponses sont collectées et peuvent être partagées avec OpenAI et AWS. Elle ne prend aucun engagement explicite de non-entraînement. L'envoi de données reste sur activation volontaire.
Conformité & souveraineté
Hébergement des donnéesAu choix
RGPDConforme
AI ActMinimal
Entraînement sur tes donnéesInconnu
Accord de sous-traitance auto-exécutoire intégrant les clauses contractuelles types européennes : accepter les conditions vaut signature. Certifications SOC 2 Type 2 et ISO 27001, conformité HIPAA sur les paliers supérieurs. Six régions européennes dont Paris et Francfort.
MCP (Model Context Protocol)
✓ MCP disponible · Officiel
Serveur hébergé avec authentification OAuth. Mode lecture seule et restriction par projet disponibles, et vivement recommandés par l'éditeur.
500 Mo de base, 1 Go de stockage, 5 Go de bande passante, 50 000 utilisateurs actifs mensuels, 500 000 appels de fonctions. Deux projets actifs par organisation, mis en pause après sept jours sans activité.
Pro
21 € /mois
8 Go de base, 100 Go de stockage, 250 Go de bande passante, 100 000 utilisateurs actifs, 2 millions d'appels de fonctions, 10 dollars de crédits de calcul, plafond de dépenses actif par défaut. Prix officiel de 25 dollars, conversion indicative hors taxes.
Team
514 € /mois
Mêmes quotas que Pro, avec 28 jours de rétention des logs, rapports SOC 2 et ISO 27001, support prioritaire et engagements de niveau de service. Prix officiel de 599 dollars, conversion indicative hors taxes.
Enterprise
Gratuit
Sur devis. Configurations sur mesure, gestionnaire de support dédié, assistance continue.
FAQ Supabase 6
Supabase est-il gratuit ?
Oui, avec un palier gratuit utilisable en production légère : 500 Mo de base, 1 Go de stockage, 5 Go de bande passante et 50 000 utilisateurs actifs par mois. Le piège à connaître est la mise en pause automatique d'un projet resté sans activité pendant sept jours. Le premier palier payant est à 25 dollars par mois.
Quelle différence entre Supabase et Firebase ?
Supabase repose sur PostgreSQL, une base relationnelle classique que tu peux exporter et rebrancher ailleurs, quand Firebase stocke des documents dans un format propriétaire. Supabase publie son code sous licence Apache 2.0 et peut s'auto-héberger. La facturation diffère aussi : paliers mensuels avec plafond de dépenses d'un côté, facturation à l'opération de l'autre.
Mes données peuvent-elles être hébergées en France ?
Oui. Supabase propose six régions européennes, dont Paris et Francfort, choisies à la création du projet. L'éditeur précise lui-même que le choix de région est un contrôle de localisation des données, pas une preuve de conformité réglementaire à lui seul.
Supabase entraîne-t-il ses modèles sur mes données ?
La réponse honnête est qu'on ne sait pas. La politique de confidentialité indique que les requêtes envoyées à l'assistant IA et leurs réponses sont collectées et partagées avec OpenAI, Amazon Bedrock, Fly.io et AWS, sans prendre d'engagement explicite de non-entraînement. L'envoi de données à l'assistant reste sur activation volontaire.
Pourquoi entend-on parler de fuites sur des applications construites avec Supabase ?
Parce que l'API est générée dès la création d'une table : sans règle d'accès configurée, cette table est ouverte à tous. Une faille référencée en 2025 a touché des applications générées par IA pour ce motif. Supabase a depuis activé les règles par défaut sur les nouvelles tables et ajouté des alertes automatiques.
Peut-on brancher Supabase sur Claude ou Cursor ?
Oui, via le serveur MCP officiel hébergé, avec authentification par navigateur. Il permet d'interroger la base, gérer les migrations, lire les logs et déployer des fonctions. Supabase recommande explicitement de l'activer en lecture seule, de le restreindre à un projet et de ne jamais le brancher sur la production.
