Supabaseが標準のバックエンドになるまで

AIアプリビルダーに、アカウントとデータベースのあるアプリを頼むと、データはSupabaseに置かれることがよくあります。6月、同社は自社プラットフォーム上の新しいデータベースの60パーセント超が「何らかのAIツールによって」立ち上げられていると述べました。

私たちの立場をはっきりさせておきます。私たちのアプリプラットフォームWerkは、プロジェクトに合う場合にSupabaseを使っており、私たちは日々の仕事を通じてこれをよく知っています。ここに至った経緯、優れている点、そうでない点、そして私たちの評価を見ていきます。

Supabaseとは

Supabaseは2020年にPaul Copplestone氏とAnt Wilson氏が創業し、Y Combinatorから歩み始めました。売りは、GoogleのFirebaseに代わるオープンソースの選択肢であり、独自形式のデータストアではなく、多くの開発者がすでに知り信頼しているデータベース、Postgresの上に作られていることでした。その周りには、アプリが次に必要とするものが揃っています。サインイン、テーブルから生成されるAPI、ファイルストレージ、そしてベクトル検索のためのツールキットです。

現在、Supabaseは自らを一文で説明しています。「SupabaseはPostgresの開発プラットフォームです」。コードはApache 2.0ライセンスで公開されています。データベースを自分で運用せずに本物のデータベースを使いたい人のために作られています。最初のバージョンを作る創業者、プロダクトチーム、エージェンシー、そしていまでは、そのすべての人のためにアプリを書くツールです。

AIビルダーが標準にした経緯

アプリビルダーが必要としていたのは、まさにそれでした。生成されたアプリのデータベース、サインイン、ストレージをまとめて担うひとつのサービスです。2025年9月にLovableがLovable Cloudを公開したとき、Supabaseはこう書きました。「Lovable Cloudで作られるすべてのプロジェクトは、裏側でSupabaseが支えています」。同社によれば、そのプラットフォームでは毎日40'000を超える新しいデータベースが立ち上げられていました。数日後、次の資金調達ラウンドを報じたTechCrunchは、バックエンドにSupabaseを使うバイブコーディングツールとしてLovableとBoltの名前を挙げました。

その後、コーディングエージェントが登場しました。2026年6月、Supabaseはデータベースの立ち上げ数が1年で600パーセント増え、約1000万人の開発者がその上で開発していると報告しました。8か月前の2倍以上です。成長は1月から加速しており、その理由として同社は「Claude CodeとCodexが、ものを作れる人の数を広げている」ことを挙げています。

資金

Supabaseは2024年にシリーズCで8000万ドル、2025年に評価額20億ドルで2億ドル、そして2025年10月に評価額50億ドルで1億ドルを調達しました。最後のラウンドでは、コミュニティのメンバーも株式を購入できました。2026年6月には、GICが主導し、Stripeが2度目の出資を行い、Salesforce Venturesが新たに加わるかたちで、プレマネー評価額100億ドルで5億ドルを調達しました。その一部は従業員の流動性に充てられ、従業員はラウンドごとに権利確定済みの株式の一部を売却できます。

本当に優れている点

Supabaseの最大の長所は、それがPostgresであることです。スキーマは素のSQLで、データは本物のリレーションとトランザクションを備えたテーブルに収まり、チームがすでに持っているスキルとツールがそのまま通用します。私たちの経験では、それはエージェントにとってもよい土台になります。SQLのマイグレーションとして書かれたスキーマは明示的で、読みやすく、レビューしやすいので、緩いドキュメントストアよりも、AIが書くコードに向いています。

始めるのも速いです。無料プランには500MBのデータベースと月間アクティブユーザー50'000人分が含まれ、実際の人を相手にアイデアを試すには十分です。そしてオープンです。プラットフォームはオープンソースでセルフホストもでき、データベースは標準的なPostgresなので、チームは一般的なツールでデータをほかへ移せます。

注意すべき点

まずはセキュリティです。ブラウザーにあるキーは、公開される前提のものです。データを守るのは行レベルセキュリティ、つまり各行を誰が読み書きできるかを決めるデータベース内のルールです。Supabaseのドキュメントは初期設定について正確に書いています。「Supabase Dashboardで作成したテーブルでは、RLSがデフォルトで有効になっています」。SQLエディターや「別のツールを通じて」作成したテーブルでは明示的に有効にする必要があり、エージェントやマイグレーションがテーブルを作るのは、たいていこの方法です。

この隙間は、実際に問題になっています。2025年5月、研究者のMatt Palmer氏は、Lovableが紹介していた1'645のアプリのうち170で行レベルセキュリティが欠けているか設定を誤っており、メールアドレス、電話番号、支払い情報といったデータが露出していたと報告しました。Lovableはその結果登録された脆弱性情報に異議を唱え、データの保護は各顧客の責任だとしました。

2026年9月には、セキュリティ企業UpGuardが、誰でも読めるテーブルを持つSupabaseのデータベースを16'000以上見つけ、その半数超に個人データが含まれていました。BleepingComputerは原因を「行レベルセキュリティのポリシーの欠如または不備と、公開キーの誤用」と報じましたが、スキャンによって、すべてのサイトがAIエージェントで作られたことが確認されたわけではありません。Supabaseのセキュリティ責任者Bil Harmer氏はTechCrunchに対し、プロジェクトは「デフォルトで安全」であり、自分のプロジェクトをどう設定するかは顧客が管理していると語りました。

次にコストです。Proは月額25ドルからで、最小のインスタンスに足りる10ドル分のコンピュートが含まれます。追加のプロジェクトはそれぞれコンピュートを全額支払い、最小サイズの月額10ドルから、掲載されている最大サイズの3'730ドルまであります。250GBを超えるデータ転送は1GBあたり0.09ドルです。Proでは利用額の上限がデフォルトで有効になっており、Teamプランは599ドルからです。私たちの見方では、料金は公正で明確に公開されていますが、請求額はコンピュートとトラフィックに比例し、小さなプロジェクトも数が増えれば積み上がります。

ロックインは、私たちの見るところ、同種のプラットフォームの大半より低めです。データベースは簡単に持ち出せます。アプリがSupabaseに根を張っていくのはサインイン、ストレージ、クライアントライブラリで、移行に本格的な手間がかかるのもそこです。

私たちの評価

Supabaseは、アカウントとデータを必要とする新しいウェブアプリやモバイルアプリの標準バックエンドという地位にふさわしく、その理由は地味なものです。Postgresであり、ツールがよく、料金が公正で公開されており、出口があることです。弱点は、速いツールすべてに共通するものです。動くアプリは簡単に作れますが、安全なアプリにするには別の一歩が必要で、エージェントがいつもその一歩を踏むとは限りません。

ですから、使えばよいのです。ただし、セキュリティを構築の一部として扱うこと。外部から到達できるすべてのテーブルに行レベルセキュリティを設定し、ポリシーは想定に頼らずテストし、秘密鍵はサーバーにだけ置き、トラフィックの見通しが立つまでは利用額の上限を設けておきます。それがWerkでの私たちの使い方です。WerkではSupabaseは、Next.js、React、Expoと並んで、プロジェクトごとに選ぶ部品のひとつです。AIがコードの大半を書き、すべてのリリースを人がレビューし、ロール、サインイン、暗号化、自動テストは最初のバージョンから備わっています。