Så blev Supabase standardvalet för backend

Be en AI-appbyggare om en app med konton och en databas, så hamnar datan ofta i Supabase. I juni uppgav bolaget att mer än 60 procent av de nya databaserna på plattformen startas ”av något slags AI-verktyg”.

Vi bör säga var vi står. Werk, vår plattform för appar, använder Supabase där ett projekt passar för det, så vi känner det från det dagliga arbetet. Här är hur det kom hit, vad som är bra, vad som inte är det och vår slutsats.

Vad det är

Supabase grundades 2020 av Paul Copplestone och Ant Wilson och började på Y Combinator. Idén var ett alternativ med öppen källkod till Googles Firebase, byggt inte på en proprietär lagring utan på Postgres, databasen som många utvecklare redan känner och litar på. Runt den finns det som en app behöver härnäst: inloggning, API:er som genereras från tabellerna, fillagring och en verktygslåda för vektorsökning.

I dag beskriver bolaget sig på en rad: ”Supabase är utvecklingsplattformen för Postgres.” Koden är offentlig under licensen Apache 2.0. Plattformen är byggd för dem som vill ha en riktig databas utan att driva en själva: grundare med en första version, produktteam, byråer och nu också verktygen som skriver appar åt dem alla.

Hur AI-byggarna gjorde det till standardvalet

Appbyggarna behövde precis det: en tjänst för en genererad apps databas, inloggning och lagring. När Lovable lanserade Lovable Cloud i september 2025 skrev Supabase: ”Varje projekt som skapas i Lovable Cloud drivs av Supabase bakom kulisserna.” Mer än 40'000 nya databaser startades på plattformen varje dag, uppgav bolaget. Några dagar senare, i en artikel om bolagets nästa finansieringsrunda, nämnde TechCrunch Lovable och Bolt bland de vibe coding-verktyg vars backend bygger på Supabase.

Sedan kom kodagenterna. I juni 2026 rapporterade Supabase att antalet nystartade databaser hade ökat med 600 procent på ett år, och att nästan 10 miljoner utvecklare bygger på plattformen, mer än dubbelt så många som åtta månader tidigare. Tillväxten hade tagit fart sedan januari, skrev bolaget, i takt med att ”Claude Code och Codex ökar antalet människor som kan bygga”.

Pengarna

Supabase tog in 80 miljoner dollar i en Series C 2024, 200 miljoner till en värdering på 2 miljarder 2025 och 100 miljoner till 5 miljarder i oktober 2025, en runda där även medlemmar i communityn kunde köpa aktier. I juni 2026 tog bolaget in 500 miljoner dollar till en värdering på 10 miljarder före det nya kapitalet, i en runda ledd av GIC där Stripe investerade för andra gången och Salesforce Ventures tillkom. En del av pengarna går till likviditet för de anställda, som får sälja en del av sina intjänade aktier i varje runda.

Det som verkligen är bra

Det bästa med Supabase är att det är Postgres. Schemat är vanlig SQL, datan ligger i tabeller med riktiga relationer och transaktioner, och de kunskaper och verktyg ett team redan har gäller fortfarande. Enligt vår erfarenhet gör det också Supabase till bra mark för agenter: ett schema skrivet som SQL-migreringar är explicit, läsbart och går att granska, vilket passar kod skriven av AI bättre än en lös dokumentdatabas.

Det går snabbt att komma igång. Gratisplanen omfattar en databas på 500 MB och 50'000 aktiva användare i månaden, nog för att testa en idé med riktiga människor. Och det är öppet. Plattformen är öppen källkod och kan drivas på egen server, och eftersom databasen är vanlig Postgres kan ett team ta med sig sin data någon annanstans med vanliga verktyg.

Vad du ska hålla koll på

Säkerheten kommer först. Nyckeln i webbläsaren är tänkt att vara offentlig. Det som skyddar datan är row level security, regler i databasen som avgör vem som får läsa eller skriva varje rad. Supabases dokumentation är exakt om standardläget: ”Tabeller som skapas via Supabase Dashboard har RLS aktiverat som standard.” Tabeller som skapas i SQL-editorn eller ”via ett annat verktyg” måste få det uttryckligen påslaget, och det är så agenter och migreringar oftast skapar dem.

Luckan har synts. I maj 2025 rapporterade forskaren Matt Palmer att 170 av 1'645 appar som Lovable visade upp saknade eller hade felkonfigurerad row level security, vilket exponerade uppgifter som e-postadresser, telefonnummer och betalningsuppgifter. Lovable bestred den sårbarhetsrapport som följde och sa att varje kund ansvarar för att skydda sina egna data.

I september 2026 hittade säkerhetsföretaget UpGuard mer än 16'000 Supabase-databaser med tabeller som vem som helst kunde läsa, och mer än hälften av dem innehöll personuppgifter. BleepingComputer angav orsaken som ”saknade eller verkningslösa policyer för row level security och felaktig användning av publika nycklar”, även om skanningarna inte slog fast att varje webbplats var byggd med en AI-agent. Supabases säkerhetschef, Bil Harmer, sa till TechCrunch att projekten är ”säkra som standard” och att kunderna själva styr hur deras projekt är konfigurerade.

Sedan kommer kostnaden. Pro börjar på 25 dollar i månaden och inkluderar beräkningskraft för 10 dollar, nog för den minsta instansen. Varje ytterligare projekt betalar hela sin beräkningskraft, från 10 dollar i månaden för den minsta storleken till 3'730 dollar för den största listade, och dataöverföring utöver 250 GB kostar 0,09 dollar per GB. Ett utgiftstak är påslaget som standard på Pro, och Team-planen börjar på 599 dollar. Enligt vår bedömning är priserna rimliga och tydligt publicerade, men fakturan följer beräkningskraft och trafik, och många små projekt blir till slut en hel del.

Inlåsningen är, som vi ser det, lägre än hos de flesta plattformar av samma slag. Databasen går lätt att flytta. Det är i inloggningen, lagringen och klientbiblioteken som en app växer ihop med Supabase, och där en flytt skulle kräva verkligt arbete.

Vår slutsats

Supabase förtjänar sin plats som standardvalet för backend i nya webb- och mobilappar som behöver konton och data, och skälet är oglamoröst: det är Postgres, med bra verktyg, rimliga publicerade priser och en väg ut. Svagheten är densamma som alla snabba verktyg delar. Det gör en fungerande app enkel, och en säker app till ett separat steg som en agent inte alltid tar.

Använd det alltså, och behandla säkerheten som en del av bygget: row level security på varje tabell som kan nås utifrån, policyer som testas i stället för att tas för givna, hemliga nycklar bara på servern och ett utgiftstak tills du känner din trafik. Så använder vi det i Werk, där Supabase är en av de delar vi väljer per projekt, bredvid Next.js, React och Expo. AI skriver det mesta av koden, människor granskar varje release, och roller, inloggning, kryptering och automatiserade tester finns med från första versionen.