Como o Supabase virou o backend padrão

Peça a um construtor de apps com IA um app com contas de usuário e banco de dados, e os dados muitas vezes vão parar no Supabase. Em junho, a empresa disse que mais de 60 por cento dos novos bancos de dados na sua plataforma são criados “por algum tipo de ferramenta de IA”.

Devemos dizer de onde falamos. O Werk, nossa plataforma de apps, usa o Supabase quando ele se encaixa no projeto, então o conhecemos do trabalho diário. Veja como ele chegou até aqui, o que é bom, o que não é e o nosso veredito.

O que ele é

O Supabase foi fundado em 2020 por Paul Copplestone e Ant Wilson e começou na Y Combinator. A proposta era ser uma alternativa de código aberto ao Firebase, do Google, construída não sobre um armazenamento proprietário, mas sobre o Postgres, o banco de dados que muitos desenvolvedores já conhecem e em que confiam. Em volta dele fica o que um app precisa em seguida: login, APIs geradas a partir das tabelas, armazenamento de arquivos e um kit de ferramentas para busca vetorial.

Hoje ele se descreve em uma linha: “Supabase é a plataforma de desenvolvimento Postgres.” O código é público, sob a licença Apache 2.0. É feito para quem quer um banco de dados de verdade sem ter de operá-lo: fundadores com uma primeira versão, equipes de produto, agências e, agora, as ferramentas que escrevem apps para todos eles.

Como os construtores de IA o tornaram padrão

Os construtores de apps precisavam exatamente disso: um único serviço para o banco de dados, o login e o armazenamento de um app gerado. Quando o Lovable lançou o Lovable Cloud, em setembro de 2025, o Supabase escreveu: “Todo projeto criado no Lovable Cloud roda no Supabase nos bastidores.” Segundo a empresa, mais de 40'000 novos bancos de dados eram criados na sua plataforma por dia. Dias depois, ao noticiar a rodada de investimento seguinte, o TechCrunch citou o Lovable e o Bolt entre as ferramentas de vibe coding cujos backends o usam.

Depois vieram os agentes de programação. Em junho de 2026, o Supabase informou que a criação de bancos de dados tinha crescido 600 por cento em um ano e que quase 10 milhões de desenvolvedores constroem sobre ele, mais que o dobro de oito meses antes. O crescimento tinha acelerado desde janeiro, escreveu a empresa, à medida que “o Claude Code e o Codex ampliam o número de pessoas que conseguem construir”.

O dinheiro

O Supabase captou 80 milhões de dólares em uma Série C em 2024, 200 milhões a uma avaliação de 2 bilhões em 2025 e 100 milhões a 5 bilhões em outubro de 2025, uma rodada em que membros da sua comunidade também puderam comprar ações. Em junho de 2026, captou 500 milhões de dólares a uma avaliação de 10 bilhões antes do novo aporte, numa rodada liderada pela GIC, com a Stripe investindo pela segunda vez e a Salesforce Ventures entrando. Parte do valor financia liquidez para os funcionários, que podem vender em cada rodada parte das ações já liberadas pelo vesting.

O que é realmente bom

A melhor coisa do Supabase é que ele é Postgres. O esquema é SQL puro, os dados ficam em tabelas com relações e transações reais, e as habilidades e ferramentas que uma equipe já tem continuam valendo. Na nossa experiência, isso também faz dele um bom terreno para agentes: um esquema escrito como migrações SQL é explícito, legível e revisável, o que combina melhor com código escrito por IA do que um armazenamento de documentos solto.

Começar é rápido. O plano gratuito inclui um banco de dados de 500 MB e 50'000 usuários ativos mensais, o suficiente para testar uma ideia com pessoas reais. E ele é aberto. A plataforma é de código aberto e pode ser auto-hospedada, e como o banco de dados é Postgres padrão, uma equipe pode levar seus dados para outro lugar com ferramentas comuns.

O que observar

A segurança vem primeiro. A chave no navegador foi feita para ser pública. O que protege os dados é a segurança em nível de linha (row level security), regras no banco de dados que decidem quem pode ler ou escrever cada linha. A documentação do Supabase é precisa sobre o padrão: “Tabelas criadas pelo Supabase Dashboard têm RLS ativada por padrão.” Tabelas criadas no editor SQL ou “por meio de outra ferramenta” precisam que ela seja ativada explicitamente, e é assim que agentes e migrações costumam criá-las.

A brecha já apareceu. Em maio de 2025, o pesquisador Matt Palmer relatou que 170 de 1'645 apps exibidos pelo Lovable tinham segurança em nível de linha ausente ou mal configurada, expondo dados como e-mails, números de telefone e dados de pagamento. O Lovable contestou o registro de vulnerabilidade resultante, dizendo que cada cliente é responsável por proteger os próprios dados.

Em setembro de 2026, a empresa de segurança UpGuard encontrou mais de 16'000 bancos de dados do Supabase com tabelas que qualquer pessoa podia ler, mais da metade deles com dados pessoais. O BleepingComputer apontou como causa “políticas de segurança em nível de linha ausentes ou ineficazes e uso indevido de chaves públicas”, embora as varreduras não tenham comprovado que todos os sites foram construídos com um agente de IA. O chefe de segurança do Supabase, Bil Harmer, disse ao TechCrunch que os projetos são “seguros por padrão” e que os clientes controlam como seus próprios projetos são configurados.

O custo vem em segundo lugar. O Pro começa em 25 dólares por mês e inclui 10 dólares de computação, o suficiente para a menor instância. Cada projeto adicional paga sua computação integral, de 10 dólares por mês no menor tamanho a 3'730 dólares no maior da lista, e a transferência de dados acima de 250 GB custa 0,09 dólar por GB. No Pro, um limite de gastos vem ativado por padrão, e o plano Team começa em 599 dólares. Na nossa visão, os preços são justos e publicados com clareza, mas a conta acompanha a computação e o tráfego, e muitos projetos pequenos se somam.

O lock-in, a nosso ver, é menor do que na maioria das plataformas do tipo. O banco de dados sai com facilidade. Login, armazenamento e as bibliotecas de cliente são onde um app se enraíza no Supabase, e onde uma mudança daria trabalho de verdade.

Nosso veredito

O Supabase merece seu lugar como backend padrão para novos apps web e mobile que precisam de contas e dados, e o motivo não tem glamour: ele é Postgres, com boas ferramentas, preços justos e publicados e uma porta de saída. Sua fraqueza é a mesma de toda ferramenta rápida. Ele torna fácil um app que funciona, e faz de um app seguro uma etapa separada que um agente nem sempre vai cumprir.

Então use, e trate a segurança como parte da construção: segurança em nível de linha em toda tabela acessível de fora, políticas testadas em vez de presumidas, chaves secretas só no servidor e um limite de gastos até você conhecer o seu tráfego. É assim que o usamos no Werk, onde o Supabase é uma das peças que escolhemos por projeto, ao lado de Next.js, React e Expo. A IA escreve a maior parte do código, as pessoas revisam cada versão, e perfis de acesso, login, criptografia e testes automatizados estão lá desde a primeira versão.