Как Supabase стал бэкендом по умолчанию

Попросите ИИ-конструктор сделать приложение с аккаунтами и базой данных, и данные часто окажутся в Supabase. В июне компания сообщила, что более 60 процентов новых баз данных на её платформе запускаются «каким-либо ИИ-инструментом».

Скажем сразу, какова наша позиция. Werk, наша платформа для приложений, использует Supabase там, где это подходит проекту, поэтому мы знаем его по ежедневной работе. Рассказываем, как он пришёл к нынешнему положению, что в нём хорошо, что нет, и каков наш вердикт.

Что это такое

Supabase основали в 2020 году Пол Копплстоун и Энт Уилсон, и начинала компания в Y Combinator. Её идея заключалась в открытой альтернативе Firebase от Google, построенной не на проприетарном хранилище, а на Postgres, базе данных, которую многие разработчики уже знают и которой доверяют. Вокруг неё находится то, что приложению нужно дальше: вход в систему, API, сгенерированные из таблиц, хранилище файлов и инструменты для векторного поиска.

Сегодня компания описывает себя одной фразой: «Supabase является платформой для разработки на Postgres». Код открыт под лицензией Apache 2.0. Он создан для тех, кому нужна настоящая база данных без необходимости её администрировать: основателей с первой версией продукта, продуктовых команд, агентств, а теперь и инструментов, которые пишут приложения для всех них.

Как ИИ-конструкторы сделали его стандартом

Конструкторам приложений нужно было именно это: один сервис для базы данных, входа в систему и хранилища сгенерированного приложения. Когда Lovable в сентябре 2025 года запустила Lovable Cloud, Supabase написала: «Каждый проект, созданный в Lovable Cloud, за кулисами работает на Supabase». По словам компании, на её платформе каждый день запускалось более 40'000 новых баз данных. Несколько дней спустя TechCrunch, рассказывая о следующем раунде финансирования, назвал Lovable и Bolt среди инструментов вайб-кодинга, бэкенды которых его используют.

Затем пришли агенты для программирования. В июне 2026 года Supabase сообщила, что число запусков баз данных за год выросло на 600 процентов и что на ней строят почти 10 миллионов разработчиков, более чем вдвое больше, чем восемью месяцами ранее. По словам компании, рост ускорился с января, поскольку «Claude Code и Codex расширяют круг людей, которые могут строить».

Деньги

В 2024 году Supabase привлекла 80 миллионов долларов в раунде серии C, в 2025 году 200 миллионов при оценке в 2 миллиарда, а в октябре 2025 года 100 миллионов при оценке в 5 миллиардов, причём в этом раунде акции могли купить и члены её сообщества. В июне 2026 года она привлекла 500 миллионов долларов при оценке в 10 миллиардов до новых денег. Раунд возглавил GIC, Stripe инвестировал повторно, а Salesforce Ventures присоединился. Часть средств идёт на ликвидность для сотрудников, которые в каждом раунде могут продать часть своих закреплённых акций.

Что действительно хорошо

Лучшее в Supabase то, что это Postgres. Схема написана на обычном SQL, данные лежат в таблицах с настоящими связями и транзакциями, а навыки и инструменты, которые уже есть у команды, по-прежнему применимы. По нашему опыту, это делает его и хорошей почвой для агентов: схема, записанная в виде SQL-миграций, явная, читаемая и проверяемая, и это лучше подходит для кода, написанного ИИ, чем свободное документное хранилище.

Начать работу можно быстро. Бесплатный тариф включает базу данных на 500 МБ и 50'000 активных пользователей в месяц, этого достаточно, чтобы проверить идею на реальных людях. И он открыт. У платформы открытый исходный код, её можно развернуть на собственных серверах, а поскольку база данных представляет собой стандартный Postgres, команда может перенести свои данные в другое место обычными инструментами.

За чем следить

Прежде всего безопасность. Ключ в браузере задуман как публичный. Данные защищает безопасность на уровне строк (RLS), то есть правила в базе данных, которые решают, кто может читать или записывать каждую строку. Документация Supabase точна в том, что касается настроек по умолчанию: «В таблицах, созданных через Supabase Dashboard, RLS включена по умолчанию». Для таблиц, созданных в SQL-редакторе или «с помощью другого инструмента», её нужно включать явно, а именно так их обычно создают агенты и миграции.

Этот пробел уже проявился. В мае 2025 года исследователь Мэтт Палмер сообщил, что у 170 из 1'645 приложений, представленных в витрине Lovable, безопасность на уровне строк отсутствовала или была неправильно настроена, из-за чего открытыми оказались такие данные, как адреса электронной почты, номера телефонов и платёжные реквизиты. Lovable оспорила появившуюся в результате запись об уязвимости, заявив, что каждый клиент сам отвечает за защиту своих данных.

В сентябре 2026 года компания по безопасности UpGuard обнаружила более 16'000 баз данных Supabase с таблицами, которые мог прочитать кто угодно, и более половины из них содержали персональные данные. BleepingComputer назвал причиной «отсутствующие или неэффективные политики безопасности на уровне строк и неправильное использование публичных ключей», хотя сканирование не установило, что каждый сайт был построен с помощью ИИ-агента. Глава службы безопасности Supabase Бил Хармер сказал TechCrunch, что проекты «безопасны по умолчанию» и что клиенты сами управляют конфигурацией своих проектов.

Во вторую очередь стоимость. Pro начинается от 25 долларов в месяц и включает вычисления на 10 долларов, чего хватает на самый маленький инстанс. Каждый следующий проект оплачивает свои вычисления полностью, от 10 долларов в месяц за самый маленький размер до 3'730 долларов за самый большой из указанных, а передача данных свыше 250 ГБ стоит 0,09 доллара за ГБ. На тарифе Pro по умолчанию включён лимит расходов, а тариф Team начинается от 599 долларов. На наш взгляд, цены справедливые и чётко опубликованы, но счёт следует за вычислениями и трафиком, и множество мелких проектов складываются в заметную сумму.

Привязка, как мы её видим, слабее, чем у большинства платформ такого рода. База данных уходит легко. Вход в систему, хранилище и клиентские библиотеки являются теми местами, где приложение срастается с Supabase и где переезд потребует настоящей работы.

Наш вердикт

Supabase заслуживает своего места бэкенда по умолчанию для новых веб- и мобильных приложений, которым нужны аккаунты и данные, и причина прозаична: это Postgres с хорошими инструментами, справедливыми опубликованными ценами и возможностью уйти. Его слабость та же, что у каждого быстрого инструмента. Он делает работающее приложение лёгким делом, а безопасное приложение отдельным шагом, который агент сделает не всегда.

Поэтому пользуйтесь им и относитесь к безопасности как к части разработки: безопасность на уровне строк для каждой таблицы, доступной извне, политики, которые протестированы, а не приняты на веру, секретные ключи только на сервере и лимит расходов, пока вы не знаете свой трафик. Так мы используем его в Werk, где Supabase является одним из компонентов, которые мы выбираем под каждый проект, наряду с Next.js, React и Expo. Большую часть кода пишет ИИ, люди проверяют каждый релиз, а роли, вход в систему, шифрование и автоматические тесты есть с первой версии.