Supabase est une plateforme backend open source construite sur PostgreSQL. Chaque projet Supabase reçoit sa propre base Postgres, avec l'authentification, le stockage de fichiers, des Edge Functions, le temps réel et la recherche vectorielle. Au 11 novembre 2026, le plan Free coûte 0 $ (500 MB de base, 50 000 utilisateurs actifs par mois), le plan Pro démarre à 25 $ par mois et le plan Team à 599 $ par mois.
Lovable Cloud et Bolt Cloud tournent sur Supabase, et Claude Code s'y branche par un serveur MCP officiel. Selon Supabase, plus de 60 % des nouvelles bases de la plateforme viennent d'un outil d'IA.
Tous les prix viennent de la page de tarifs officielle de Supabase, consultée le 11 novembre 2026.
Supabase, c'est quoi ?
Supabase se présente comme « la plateforme de développement Postgres ». Vous créez un projet dans le dashboard et recevez un backend complet : base de données, comptes utilisateurs, espace de fichiers et API prêtes à appeler depuis votre front.
Une base Postgres complète par projet
Chaque projet Supabase est une base PostgreSQL entière, avec SQL, extensions et migrations. Supabase la décrit comme « 100 % portable » : vous gardez un Postgres standard. Le plan Free fournit 500 MB de base sur un CPU partagé avec 500 MB de RAM. Le plan Pro passe à 8 GB de disque par projet.
Les briques autour de la base
Supabase ajoute six briques autour de Postgres :
- Authentication : inscription et connexion par email, fournisseurs OAuth sociaux, connexion anonyme, MFA de base. Supabase ne limite le nombre total d'utilisateurs sur aucun plan : seuls les utilisateurs actifs mensuels (MAU) comptent dans le quota.
- Storage : fichiers et médias, avec un upload maximal de 50 MB en Free et de 500 GB en Pro.
- Edge Functions : votre code serveur, exécuté sans serveur à déployer ni à dimensionner, 500 000 invocations par mois en Free et 2 millions en Pro.
- Realtime : synchronisation des changements de la base vers le navigateur, 200 connexions simultanées en Free et 500 en Pro.
- Vector : stockage et recherche d'embeddings pour les fonctions d'IA comme la recherche sémantique.
- Data APIs : une API REST générée à partir de vos tables.
Supabase liste aussi dans son menu produit Cron (tâches planifiées), Queues (files de messages) et Supabase Compute, en alpha privée depuis le 27 octobre 2026 pour faire tourner des agents dans votre projet.
Open source sous licence Apache 2.0
Le code de Supabase est public sur GitHub sous licence Apache 2.0, avec 114 800 étoiles au 11 novembre 2026. Vous pouvez héberger Supabase vous-même, gratuitement, avec Docker ou la CLI.
Une levée de 500 M$ en juin 2026
Supabase a levé une Series E de 100 M$ à 5 milliards de dollars de valorisation pre-money le 3 octobre 2025, menée par Accel et Peak XV. Le 4 juin 2026, l'entreprise a annoncé une Series F de 500 M$ à 10 milliards de dollars pre-money, menée par GIC, le fonds souverain de Singapour. Stripe y a investi pour la deuxième fois.
Dans la même annonce, Supabase donne trois chiffres : les lancements de bases ont crû de 600 % en un an, près de 10 millions de développeurs construisent sur la plateforme, et plus de 60 % des nouvelles bases viennent d'un outil d'IA. L'entreprise cite Claude Code et Codex comme moteurs de la croissance depuis janvier 2026.
Comment marche Supabase ?
Avec Supabase, vous appelez la base directement depuis votre front, sans serveur intermédiaire à écrire.
Une API générée depuis vos tables
Quand vous créez une table todos, Supabase expose aussitôt une route REST pour la lire et l'écrire. Côté front, la bibliothèque @supabase/supabase-js donne une syntaxe courte : supabase.from('todos').select('*') renvoie les lignes de la table.
Une clé publique dans le navigateur, la sécurité dans la base
Votre app appelle cette API avec une clé publique (la publishable key, ex-anon key). Supabase l'écrit dans sa checklist de sécurité : cette clé part dans votre app, et l'API expose vos tables à quiconque la possède. La protection se règle dans Postgres, table par table, avec la Row Level Security (RLS). Une policy RLS revient à ajouter une clause WHERE à chaque requête : l'utilisateur connecté ne voit que ses lignes.
Une table sans RLS reste donc ouverte à tous.
Le dashboard, le SQL Editor et la CLI Supabase
Dans le dashboard, vous trouvez un éditeur de tables façon tableur, un SQL Editor et un éditeur de policies RLS. Pour travailler en local, la CLI Supabase s'installe avec npm install supabase --save-dev (Node.js 20 minimum). npx supabase init crée le dossier du projet, puis npx supabase start lance toute la pile en local dans des conteneurs Docker.
Supabase est-il gratuit ? Les limites du plan Free
Oui, Supabase est gratuit pour démarrer, et le plan Free suffit pour un prototype. Quatre limites comptent avant un lancement.
Les quotas du plan Free
Le plan Free comprend des requêtes API illimitées, 50 000 MAU, 500 MB de base, 1 GB de stockage de fichiers, 5 GB d'egress (données sortantes) et 5 GB d'egress en cache. Le support passe par la communauté.
La mise en pause après une semaine d'inactivité
Supabase met en pause les projets Free après une semaine d'inactivité, et limite chaque compte à deux projets actifs. Un projet en pause ne répond plus jusqu'à ce que vous le relanciez depuis le dashboard.
Sauvegardes et emails : deux limites avant un lancement
Le plan Free n'inclut aucune sauvegarde automatique, et Supabase précise dans sa documentation que vous ne pouvez pas télécharger les sauvegardes d'un projet Free. Une table effacée par erreur reste perdue.
Sans serveur SMTP personnalisé, Supabase Auth envoie au plus 2 emails par heure (confirmation d'inscription, mot de passe oublié). Supabase applique ce plafond depuis le 3 septembre 2024, selon sa checklist de production. Au troisième inscrit de la même heure, l'email de confirmation ne part pas. Avec votre propre SMTP (SendGrid ou AWS SES par exemple), la limite par défaut passe à 30 nouveaux utilisateurs par heure, et vous la réglez dans Authentication > Rate Limits.
Prix de Supabase en 2026 : Free, Pro, Team et Enterprise
Supabase facture un abonnement par organisation, plus le compute de chaque projet et l'usage au-delà des quotas. Les prix sont en dollars. Supabase applique la TVA selon votre adresse de facturation.
| Plan | Prix | Utilisateurs actifs inclus | Base | Stockage fichiers | Sauvegardes | Mise en pause |
|---|---|---|---|---|---|---|
| Free | 0 $ | 50 000 | 500 MB | 1 GB | aucune | après 7 jours d'inactivité |
| Pro | dès 25 $/mois | 100 000, puis 0,00325 $/MAU | 8 GB, puis 0,125 $/GB | 100 GB, puis 0,0213 $/GB | 7 jours | jamais |
| Team | dès 599 $/mois | 100 000, puis 0,00325 $/MAU | 8 GB, puis 0,125 $/GB | 100 GB, puis 0,0213 $/GB | 14 jours | jamais |
| Enterprise | sur devis | sur mesure | sur mesure | sur mesure | sur mesure | jamais |
Pro à 25 $ par mois avec 10 $ de crédit compute
Le plan Pro coûte 25 $ par mois et inclut un premier projet. Il ajoute 250 GB d'egress (puis 0,09 $/GB), 7 jours de logs et le support par email. Chaque plan payant reçoit 10 $ de crédit compute par mois, soit le prix d'une instance Micro. Chaque projet supplémentaire coûte au moins 10 $ par mois.
Team à 599 $ par mois pour la conformité
Le plan Team ajoute les rapports SOC 2 et ISO 27001, le SSO sur le dashboard Supabase, des rôles en lecture seule, 14 jours de sauvegardes et 28 jours de logs. HIPAA s'ajoute en option payante.
Le prix du compute par taille d'instance
Chaque projet tourne sur sa propre instance Postgres, facturée à l'heure. Vous changez de taille à tout moment dans le dashboard :
| Taille | Prix mensuel | Processeur | Mémoire |
|---|---|---|---|
| Micro | 10 $ | partagé | 1 GB |
| Small | 15 $ | partagé | 2 GB |
| Medium | 60 $ | partagé | 4 GB |
| Large | 110 $ | 2 vCPU dédiés | 8 GB |
| XL | 210 $ | 4 vCPU dédiés | 16 GB |
| 16XL | 3 730 $ | 64 vCPU dédiés | 256 GB |
Vous payez 25 $ pour l'abonnement Pro, puis la taille d'instance de chaque projet. Supabase déduit le crédit de 10 $ de n'importe quelle taille.
Le plafond de dépenses activé par défaut
Sur le plan Pro, Supabase active par défaut un plafond de dépenses (spend cap) : vous ne payez aucun usage au-delà des quotas. Pour dépasser les 100 000 MAU ou les 250 GB d'egress, désactivez-le dans le dashboard.
Combien coûte Supabase à chaque stade de votre startup ?
Nous avons assemblé les prix unitaires de la page de tarifs pour six situations courantes, avec la formule de chaque ligne. Le calcul ne compte que l'abonnement, le compute et les MAU au-delà du quota : l'egress, le stockage de fichiers et les options payantes s'ajoutent si vous dépassez leurs quotas.
| Stade | Configuration | Formule | Total mensuel |
|---|---|---|---|
| Prototype | Free, 1 ou 2 projets | 0 $ | 0 $ |
| Premiers utilisateurs en production | Pro, 1 projet Micro | 25 + 10 − 10 | 25 $ |
| Production et développement séparés | Pro, 2 projets Micro | 25 + 10 + 10 − 10 | 35 $ |
| 10 000 MAU, instance Small | Pro, 1 projet Small | 25 + 15 − 10 | 30 $ |
| 10 000 MAU, instance Medium | Pro, 1 projet Medium | 25 + 60 − 10 | 75 $ |
| 150 000 MAU, instance Medium | Pro, Medium, 50 000 MAU au-delà du quota | 25 + 60 − 10 + 50 000 × 0,00325 | 237,50 $ |
Prototype
Pour tester une idée, le plan Free suffit. Après sept jours sans activité, vous relancez la démo à la main avant chaque rendez-vous.
Premiers utilisateurs en production
Dès que des clients payants dépendent de l'app, passez en Pro : pas de mise en pause, 7 jours de sauvegardes. Supabase déduit le crédit de 10 $ du prix de l'instance Micro, et le total reste à 25 $. Un projet de développement à côté de la production ajoute 10 $.
10 000 utilisateurs actifs par mois
10 000 MAU restent sous le quota de 100 000 du plan Pro : l'authentification ne coûte rien de plus. Supabase ne publie aucune correspondance entre nombre d'utilisateurs et taille d'instance, car la charge dépend de vos requêtes. Nous chiffrons donc deux tailles : Small (30 $ au total) et Medium (75 $ au total). Suivez la consommation de votre projet sur la page Usage du dashboard avant de changer de taille.
Au-delà de 100 000 utilisateurs actifs
Chaque MAU au-delà de 100 000 coûte 0,00325 $. À 150 000 MAU, les 50 000 MAU supplémentaires ajoutent 162,50 $ par mois, soit 237,50 $ au total avec une instance Medium. Désactivez alors le spend cap, sinon vous restez limité aux quotas du plan.
Pourquoi Lovable, Bolt et Claude Code utilisent Supabase
Lovable et Bolt génèrent l'interface, et chaque projet généré demande un backend prêt à l'emploi. Supabase met en avant une mise en place instantanée : base, authentification, stockage et Edge Functions arrivent ensemble.
Lovable Cloud et Bolt Cloud tournent sur Supabase
Le 29 septembre 2025, Supabase a annoncé que chaque projet créé dans Lovable Cloud tourne sur Supabase. Le lendemain, Bolt a lancé Bolt Cloud : Supabase héberge chaque projet Bolt Cloud qui a besoin d'un backend. Supabase indiquait alors que Bolt avait déjà connecté ses apps à plus de 600 000 backends Supabase.
Si vous débutez sur ces outils, nos guides Lovable et Bolt.new détaillent la connexion pas à pas. Pour la méthode complète, lisez notre guide du MVP en vibe coding pour fondateur non technique.
Claude Code et le connecteur Claude officiel
Avec Claude Code, vous branchez Supabase par le serveur MCP. Depuis le 3 février 2026, ce serveur figure aussi dans les connecteurs officiels de Claude. Le connecteur fonctionne avec tous les plans Supabase et tous les plans Claude payants (Pro, Team, Max, Enterprise).
Supabase a aussi publié le 30 juin 2026 un guide pour coder sur Supabase avec OpenCode, l'agent de code open source.
Brancher le serveur MCP Supabase sur votre agent
Avec le serveur MCP Supabase, votre agent de code (Claude Code, Cursor, OpenCode) accède directement à vos projets Supabase. Pour comprendre le protocole, lisez d'abord notre guide Claude Code et MCP.
Installer le serveur distant en une commande
Supabase héberge le serveur à l'adresse https://mcp.supabase.com/mcp, décrit dans la documentation du serveur MCP Supabase. Dans Claude Code, une commande suffit :
claude mcp add --scope project --transport http supabase "https://mcp.supabase.com/mcp"
Lancez ensuite /mcp dans Claude Code, choisissez « supabase » puis « Authenticate ». Connectez-vous dans le navigateur et choisissez l'organisation du projet. Vous n'avez pas besoin de jeton d'accès personnel.
Les outils MCP disponibles
Supabase range les outils par groupes dans sa documentation :
- Database :
list_tables,apply_migration,execute_sql. - Debugging :
query_logs, etget_advisorspour lire les alertes de sécurité et de performance. - Development et Edge Functions :
generate_typescript_types,deploy_edge_function. - Account :
create_project,pause_project. - Branching, réservé aux plans payants : branches de développement de la base.
Avant la création d'un projet ou d'une branche facturés, vous validez le coût affiché dans votre client MCP.
Les réglages de sécurité à activer
Supabase décrit dans sa documentation MCP un risque précis : l'injection de prompt. Son exemple : un client écrit dans un ticket de support une consigne qui demande de copier une table sensible dans la réponse. Un développeur demande ensuite à son agent de lire ce ticket, et l'agent tente d'exécuter la consigne avec les droits du développeur.
Supabase recommande cinq réglages :
- Activez le mode lecture seule (
read_only=true) pour tout usage sans surveillance : l'agent exécute alors le SQL avec un utilisateur Postgres en lecture seule. - Limitez le serveur à un seul projet (
project_ref), pour que l'agent ne voie pas vos autres bases. - Restreignez les groupes d'outils avec l'option
features. - Connectez l'agent à la production seulement quand la tâche l'exige, et testez sur une branche de développement.
- Ne donnez jamais le serveur MCP à vos clients : il tourne avec vos droits de développeur.
Gardez aussi la validation manuelle de chaque appel d'outil dans votre client.
Sécuriser une app vibe codée : la checklist RLS avant mise en ligne
Une app générée par IA peut fonctionner en démo avec des tables grandes ouvertes. Les autres pièges figurent dans notre article sur les erreurs de vibe coding.
Pourquoi une table sans RLS est publique
Supabase l'écrit dans sa documentation RLS, mise à jour le 3 novembre 2026 : une table d'un schéma exposé sans RLS est lisible et modifiable par tout rôle qui a un droit (grant) sur elle. Sur les projets existants, une nouvelle table du schéma public reçoit par défaut tous les droits pour les rôles anon (visiteur non connecté), authenticated et service_role. Ajouter des policies ne retire pas ces droits.
Concrètement, un visiteur ouvre l'inspecteur réseau de votre site, repère la clé publique et ajoute ?select=* à une requête vers la table exposée.
Le précédent CVE-2025-48757
La base de vulnérabilités américaine NVD a publié le 30 mai 2025 la CVE-2025-48757 : des policies RLS insuffisantes dans les sites générés par Lovable jusqu'au 15 avril 2025 permettaient à des attaquants non authentifiés de lire ou d'écrire dans les tables. Lovable conteste la qualification, au motif que chaque client reste responsable de la protection des données de son application.
La leçon vaut pour tous les outils : l'éditeur génère le code, et vous répondez des données de vos utilisateurs.
La checklist en dix points
Chaque point vient de la documentation officielle de Supabase (pages RLS et checklist de sécurité de production, mises à jour les 2 et 3 novembre 2026).
- Activez RLS sur chaque table d'un schéma exposé :
alter table public.ma_table enable row level security;. - Retirez les droits par défaut (
revoke all on table public.ma_table from anon, authenticated;), puis accordez seulement les opérations utiles. - Écrivez une policy par opération (select, insert, update, delete), du type
using ((select auth.uid()) = user_id). - Réservez les policies
to anon using (true)aux données publiques : avec elles, tout visiteur lit toutes les lignes. - Gardez la clé
service_rolecôté serveur : elle contourne RLS. - Vérifiez vos vues SQL : elles contournent RLS par défaut, car Postgres les crée avec les droits de leur créateur.
- Activez RLS et des policies sur chaque table diffusée en Realtime. RLS ne filtre pas les événements DELETE de Postgres Changes.
- Testez : écrivez dans
supabase/tests/un fichier.sqlavec les accès autorisés et refusés pouranonetauthenticated, puis lancezsupabase test db. - Lancez le Security Advisor du dashboard, ou demandez
get_advisorsà votre agent via le serveur MCP en lecture seule. - Réglez l'authentification : confirmation des emails, codes à usage unique valables 3 600 secondes au plus, SMTP personnalisé, MFA sur votre compte Supabase et au moins deux propriétaires dans l'organisation.
Supabase publie sur sa page de checklist un prompt à copier dans votre agent : l'agent audite le projet en lecture seule et classe chaque point en réussi, échoué ou non vérifiable.
Supabase ou Firebase, Neon, Convex, PocketBase ?
Quatre alternatives reviennent pour un fondateur. Repères relevés sur leurs pages de tarifs le 11 novembre 2026 :
| Supabase | Firebase | Neon | Convex | PocketBase | |
|---|---|---|---|---|---|
| Base | PostgreSQL | Cloud Firestore (documents) | PostgreSQL | base réactive Convex | SQLite embarqué |
| Offre gratuite | 500 MB, 50 000 MAU, 2 projets actifs | Spark : 1 GiB stocké, 50 000 lectures par jour | 100 projets, 1 GB par projet | 0,5 GB de base, 1 à 6 développeurs | gratuit, licence MIT |
| Offre payante | Pro dès 25 $/mois | Blaze, paiement à l'usage | Launch, 0,106 $ par heure de compute | Professional, 25 $ par développeur et par mois | hébergement à votre charge |
| Authentification | incluse, 50 000 MAU en Free | incluse, 50 000 MAU sans frais | Better Auth gérée | incluse | incluse |
| À savoir | pause du Free après 7 jours | quotas Spark remis à zéro chaque jour | compute en veille après 5 minutes d'inactivité | prix au nombre de développeurs | pas de v1.0, compatibilité non garantie |
Avec Firebase, vos données vont dans une base de documents chez Google. Neon reste le plus proche de Supabase, en Postgres, et Convex facture par développeur. PocketBase tient dans un seul fichier à héberger vous-même, utile pour un outil interne.
Pour comparer les crédits gratuits des clouds et des API d'IA, consultez notre guide des crédits cloud et IA pour startups.
Notre avis sur Supabase pour une startup
Supabase est le choix par défaut si vous construisez un SaaS avec un outil de vibe coding : Lovable et Bolt s'y branchent nativement, vous le pilotez depuis Claude Code par MCP, et vos données restent dans un Postgres standard.
Passez en Pro dès le premier client, à cause de la mise en pause et de l'absence de sauvegarde en Free. Branchez un SMTP avant tout lancement public. Faites la checklist RLS avant d'envoyer le lien : une table ouverte se trouve en une requête.
Jusqu'à 100 000 utilisateurs actifs, comptez 25 à 75 $ par mois avec une instance Micro à Medium, d'après la grille du 11 novembre 2026.
FAQ
Qu'est-ce que Supabase ?
Supabase est une plateforme backend open source (licence Apache 2.0) construite sur PostgreSQL. Chaque projet comprend une base Postgres, l'authentification, le stockage de fichiers, des Edge Functions, le temps réel et la recherche vectorielle, avec une API générée à partir de vos tables.
Est-ce que Supabase est gratuit ?
Oui, le plan Free coûte 0 $ et inclut 500 MB de base, 50 000 utilisateurs actifs par mois et deux projets actifs. Supabase met en pause les projets Free après une semaine d'inactivité et n'y inclut aucune sauvegarde automatique.
Quel est le prix de Supabase ?
Au 11 novembre 2026, le plan Pro démarre à 25 $ par mois, le plan Team à 599 $ par mois, et Enterprise se négocie sur devis. Chaque plan payant inclut 10 $ de crédit compute par mois, soit une instance Micro.
Comment marche Supabase ?
Vous créez des tables dans Postgres, et Supabase génère une API REST pour les lire et les écrire depuis votre front avec une clé publique. Avec les règles de Row Level Security écrites en SQL, vous fixez les lignes que chaque utilisateur peut voir ou modifier.
Supabase met-il en pause les projets inactifs ?
Oui, sur le plan Free uniquement : Supabase met en pause un projet après une semaine d'inactivité. Vous le relancez depuis le dashboard. Supabase ne met jamais en pause les projets Pro, Team et Enterprise.
Comment utiliser Supabase avec Claude ?
Ajoutez le serveur MCP distant https://mcp.supabase.com/mcp à Claude Code avec claude mcp add, puis authentifiez-vous avec /mcp. Dans Claude.ai ou Claude Desktop, choisissez Supabase dans le menu des connecteurs, disponible sur les plans Claude payants depuis le 3 février 2026.
Peut-on héberger Supabase soi-même ?
Oui. Supabase confirme sur sa page de tarifs que l'auto-hébergement est gratuit, avec Docker ou la CLI Supabase.
