Cómo Supabase se convirtió en el backend por defecto

Pide a un creador de apps con IA una app con cuentas y una base de datos, y los datos acabarán a menudo en Supabase. En junio, la empresa dijo que más del 60 por ciento de las bases de datos nuevas de su plataforma se lanzan «con algún tipo de herramienta de IA».

Conviene decir dónde estamos. Werk, nuestra plataforma de apps, usa Supabase cuando un proyecto encaja con él, así que lo conocemos del trabajo diario. Aquí va cómo llegó hasta este punto, lo que tiene de bueno, lo que no y nuestro veredicto.

Qué es

Supabase fue fundada en 2020 por Paul Copplestone y Ant Wilson y dio sus primeros pasos en Y Combinator. Su propuesta era una alternativa de código abierto a Firebase de Google, construida no sobre un almacén propietario sino sobre Postgres, la base de datos que muchos desarrolladores ya conocen y en la que confían. A su alrededor está lo siguiente que necesita una app: inicio de sesión, API generadas a partir de las tablas, almacenamiento de archivos y un conjunto de herramientas para búsqueda vectorial.

Hoy se describe en una línea: «Supabase es la plataforma de desarrollo de Postgres». El código es público bajo la licencia Apache 2.0. Está pensada para quienes quieren una base de datos de verdad sin tener que operarla: fundadores con una primera versión, equipos de producto, agencias y, ahora, las herramientas que escriben apps para todos ellos.

Cómo los creadores con IA lo convirtieron en la opción por defecto

Los creadores de apps necesitaban exactamente eso: un solo servicio para la base de datos, el inicio de sesión y el almacenamiento de una app generada. Cuando Lovable lanzó Lovable Cloud en septiembre de 2025, Supabase escribió: «Cada proyecto creado en Lovable Cloud funciona con Supabase entre bastidores». Según dijo, cada día se lanzaban en su plataforma más de 40'000 bases de datos nuevas. Días después, al informar sobre su siguiente ronda de financiación, TechCrunch citó a Lovable y Bolt entre las herramientas de vibe coding cuyos backends lo usan.

Luego llegaron los agentes de programación. En junio de 2026, Supabase informó de que los lanzamientos de bases de datos habían crecido un 600 por ciento en un año y de que casi 10 millones de desarrolladores construyen sobre su plataforma, más del doble que ocho meses antes. El crecimiento se había acelerado desde enero, escribió, a medida que «Claude Code y Codex amplían el número de personas que pueden construir».

El dinero

Supabase cerró una serie C de 80 millones de dólares en 2024, 200 millones con una valoración de 2 mil millones en 2025 y 100 millones con una valoración de 5 mil millones en octubre de 2025, una ronda en la que también pudieron comprar acciones miembros de su comunidad. En junio de 2026 levantó 500 millones de dólares con una valoración de 10 mil millones antes de la nueva inversión, en una ronda liderada por GIC, con Stripe invirtiendo por segunda vez y la entrada de Salesforce Ventures. Una parte se destina a dar liquidez a los empleados, que pueden vender en cada ronda algunas de sus acciones ya consolidadas.

Lo que es realmente bueno

Lo mejor de Supabase es que es Postgres. El esquema es SQL sin más, los datos están en tablas con relaciones y transacciones reales, y las habilidades y herramientas que un equipo ya tiene siguen sirviendo. Según nuestra experiencia, eso también lo convierte en buen terreno para los agentes: un esquema escrito como migraciones SQL es explícito, legible y revisable, lo que encaja mejor con código escrito por IA que un almacén de documentos laxo.

Empezar es rápido. El plan gratuito incluye una base de datos de 500 MB y 50'000 usuarios activos mensuales, suficiente para probar una idea con personas reales. Y es abierto. La plataforma es de código abierto y puede autoalojarse, y como la base de datos es Postgres estándar, un equipo puede llevarse sus datos a otro sitio con herramientas corrientes.

Lo que hay que vigilar

Primero, la seguridad. La clave que está en el navegador está pensada para ser pública. Lo que protege los datos es la seguridad a nivel de fila (RLS), reglas en la base de datos que deciden quién puede leer o escribir cada fila. La documentación de Supabase es precisa sobre el comportamiento por defecto: «Las tablas creadas a través del Supabase Dashboard tienen la RLS activada por defecto». Las tablas creadas en el editor SQL o «a través de otra herramienta» necesitan que se active de forma explícita, y así es como suelen crearlas los agentes y las migraciones.

Esa laguna ya se ha hecho visible. En mayo de 2025, el investigador Matt Palmer informó de que 170 de 1'645 apps destacadas por Lovable tenían la seguridad a nivel de fila ausente o mal configurada, lo que exponía datos como correos electrónicos, números de teléfono y datos de pago. Lovable impugnó el registro de vulnerabilidad resultante, alegando que cada cliente es responsable de proteger sus propios datos.

En septiembre de 2026, la empresa de seguridad UpGuard encontró más de 16'000 bases de datos de Supabase con tablas que cualquiera podía leer, más de la mitad de ellas con datos personales. BleepingComputer atribuyó la causa a «políticas de seguridad a nivel de fila ausentes o ineficaces y al mal uso de claves públicas», aunque los análisis no demostraron que todos los sitios se hubieran creado con un agente de IA. El responsable de seguridad de Supabase, Bil Harmer, dijo a TechCrunch que los proyectos son «seguros por defecto» y que los clientes controlan cómo se configuran sus propios proyectos.

Segundo, el coste. Pro empieza en 25 dólares al mes e incluye 10 dólares de cómputo, suficiente para la instancia más pequeña. Cada proyecto adicional paga su cómputo completo, desde 10 dólares al mes para el tamaño más pequeño hasta 3'730 dólares para el mayor de la lista, y la transferencia de datos por encima de 250 GB cuesta 0,09 dólares por GB. En Pro hay un límite de gasto activado por defecto, y el plan Team empieza en 599 dólares. En nuestra opinión, los precios son justos y están claramente publicados, pero la factura sigue al cómputo y al tráfico, y muchos proyectos pequeños acaban sumando.

La dependencia del proveedor, tal como la vemos, es menor que en la mayoría de las plataformas de su tipo. La base de datos sale con facilidad. El inicio de sesión, el almacenamiento y las bibliotecas de cliente son donde una app echa raíces en Supabase, y donde una mudanza costaría trabajo de verdad.

Nuestro veredicto

Supabase merece su lugar como backend por defecto para las nuevas apps web y móviles que necesitan cuentas y datos, y la razón es poco glamurosa: es Postgres, con buenas herramientas, precios justos y publicados, y una salida. Su debilidad es la que comparten todas las herramientas rápidas. Hace fácil una app que funciona, y deja la app segura como un paso aparte que un agente no siempre dará.

Así que úsalo, y trata la seguridad como parte de la construcción: seguridad a nivel de fila en cada tabla accesible desde fuera, políticas que se prueban en lugar de darse por supuestas, claves secretas solo en el servidor y un límite de gasto hasta que conozcas tu tráfico. Así lo usamos en Werk, donde Supabase es una de las piezas que elegimos según el proyecto, junto a Next.js, React y Expo. La IA escribe la mayor parte del código, las personas revisan cada versión, y los roles, el inicio de sesión, el cifrado y las pruebas automatizadas están ahí desde la primera versión.