Come Supabase è diventato il backend di riferimento

Chiedete a uno strumento di IA per creare app un’app con account utente e un database, e spesso i dati finiranno in Supabase. A giugno l’azienda ha dichiarato che oltre il 60 per cento dei nuovi database sulla sua piattaforma viene avviato «da qualche tipo di strumento di IA».

È giusto dire da dove parliamo. Werk, la nostra piattaforma per app, usa Supabase quando un progetto si presta, quindi lo conosciamo dal lavoro quotidiano. Ecco come è arrivato fin qui, che cosa funziona, che cosa no, e il nostro giudizio.

Che cos’è

Supabase è stato fondato nel 2020 da Paul Copplestone e Ant Wilson e ha mosso i primi passi in Y Combinator. La proposta era un’alternativa open source a Firebase di Google, costruita non su un archivio proprietario ma su Postgres, il database che molti sviluppatori conoscono già e di cui si fidano. Attorno c’è ciò che serve subito dopo a un’app: accesso, API generate dalle tabelle, archiviazione dei file e un toolkit per la ricerca vettoriale.

Oggi si descrive in una riga: «Supabase è la piattaforma di sviluppo per Postgres». Il codice è pubblico con licenza Apache 2.0. È pensato per chi vuole un vero database senza doverne gestire uno: fondatori con una prima versione, team di prodotto, agenzie e, ora, gli strumenti che scrivono app per tutti loro.

Come gli strumenti di IA ne hanno fatto il riferimento

Gli strumenti per creare app avevano bisogno esattamente di questo: un unico servizio per il database, l’accesso e l’archiviazione di un’app generata. Quando a settembre 2025 Lovable ha lanciato Lovable Cloud, Supabase ha scritto: «Ogni progetto creato in Lovable Cloud funziona, dietro le quinte, con Supabase». Sulla sua piattaforma venivano avviati più di 40'000 nuovi database al giorno, ha aggiunto. Pochi giorni dopo, raccontando il suo successivo round di finanziamento, TechCrunch ha citato Lovable e Bolt tra gli strumenti di vibe coding i cui backend lo usano.

Poi sono arrivati gli agenti di programmazione. A giugno 2026 Supabase ha riferito che gli avvii di database erano cresciuti del 600 per cento in un anno e che quasi 10 milioni di sviluppatori costruiscono sulla piattaforma, più del doppio di otto mesi prima. Da gennaio la crescita aveva accelerato, ha scritto, perché «Claude Code e Codex ampliano il numero di persone che possono costruire».

I finanziamenti

Supabase ha raccolto 80 milioni di dollari in un round di Serie C nel 2024, 200 milioni a una valutazione di 2 miliardi nel 2025 e 100 milioni a 5 miliardi a ottobre 2025, un round in cui anche i membri della sua community hanno potuto acquistare azioni. A giugno 2026 ha raccolto 500 milioni di dollari a una valutazione di 10 miliardi prima del nuovo capitale, in un round guidato da GIC, con Stripe al suo secondo investimento e l’ingresso di Salesforce Ventures. Parte della somma serve a dare liquidità ai dipendenti, che a ogni round possono vendere una quota delle azioni già maturate.

Che cosa funziona davvero

La cosa migliore di Supabase è che è Postgres. Lo schema è SQL puro, i dati stanno in tabelle con relazioni e transazioni vere, e le competenze e gli strumenti che un team ha già continuano a valere. Secondo la nostra esperienza questo ne fa anche un buon terreno per gli agenti: uno schema scritto come migrazioni SQL è esplicito, leggibile e verificabile, e si addice al codice scritto dall’IA più di un archivio di documenti poco strutturato.

Si parte in fretta. Il piano gratuito include un database da 500 MB e 50'000 utenti attivi al mese, abbastanza per mettere alla prova un’idea con persone reali. Ed è aperto. La piattaforma è open source e si può ospitare in proprio, e poiché il database è Postgres standard, un team può portare i propri dati altrove con strumenti comuni.

Dove fare attenzione

Prima viene la sicurezza. La chiave nel browser è pensata per essere pubblica. Ciò che protegge i dati è la row level security, cioè regole nel database che decidono chi può leggere o scrivere ciascuna riga. La documentazione di Supabase è precisa sul comportamento predefinito: «Le tabelle create tramite la Supabase Dashboard hanno la RLS abilitata per impostazione predefinita». Le tabelle create nell’editor SQL o «tramite un altro strumento» richiedono di attivarla esplicitamente, ed è proprio così che di solito le creano agenti e migrazioni.

La lacuna si è vista. A maggio 2025 il ricercatore Matt Palmer ha segnalato che 170 delle 1'645 app presentate da Lovable avevano una row level security assente o configurata male, che esponeva dati come indirizzi e-mail, numeri di telefono e dati di pagamento. Lovable ha contestato la scheda di vulnerabilità che ne è derivata, sostenendo che ogni cliente è responsabile della protezione dei propri dati.

A settembre 2026 la società di sicurezza UpGuard ha trovato più di 16'000 database Supabase con tabelle leggibili da chiunque, più della metà dei quali conteneva dati personali. BleepingComputer ha indicato come causa «policy di row level security assenti o inefficaci e un uso scorretto delle chiavi pubbliche», anche se le scansioni non hanno stabilito che ogni sito fosse stato costruito con un agente di IA. Il responsabile della sicurezza di Supabase, Bil Harmer, ha detto a TechCrunch che i progetti sono «sicuri per impostazione predefinita» e che sono i clienti a controllare come vengono configurati i propri progetti.

Poi viene il costo. Il piano Pro parte da 25 dollari al mese e include 10 dollari di capacità di calcolo, sufficienti per l’istanza più piccola. Ogni progetto aggiuntivo paga per intero la propria capacità di calcolo, da 10 dollari al mese per la taglia più piccola a 3'730 dollari per la più grande in listino, e il trasferimento di dati oltre i 250 GB costa 0,09 dollari per GB. Sul piano Pro un tetto di spesa è attivo per impostazione predefinita, e il piano Team parte da 599 dollari. A nostro avviso i prezzi sono equi e pubblicati con chiarezza, ma la fattura segue la capacità di calcolo e il traffico, e tanti piccoli progetti finiscono per sommarsi.

Il lock-in, per come la vediamo, è più basso che con la maggior parte delle piattaforme di questo tipo. Il database si porta via facilmente. L’accesso, l’archiviazione e le librerie client sono i punti in cui un’app mette radici in Supabase, e dove un trasloco richiederebbe un lavoro vero.

Il nostro giudizio

Supabase merita il suo posto come backend di riferimento per le nuove app web e mobile che hanno bisogno di account e dati, e la ragione è poco spettacolare: è Postgres, con buoni strumenti, prezzi equi e pubblici e una via d’uscita. Il suo punto debole è quello di ogni strumento veloce. Rende facile un’app funzionante, e fa di un’app sicura un passo separato che un agente non sempre compie.

Quindi usatelo, e trattate la sicurezza come parte della costruzione: row level security su ogni tabella raggiungibile dall’esterno, policy testate anziché date per scontate, chiavi segrete solo sul server e un tetto di spesa finché non conoscete il vostro traffico. È così che lo usiamo in Werk, dove Supabase è uno dei componenti che scegliamo progetto per progetto, accanto a Next.js, React ed Expo. L’IA scrive la maggior parte del codice, le persone rivedono ogni rilascio, e ruoli, accesso, crittografia e test automatici ci sono fin dalla prima versione.