Supabase

Supabase to gotowe zaplecze dla aplikacji z kontami klientów, wynajmowane w jednym pakiecie. Dostajesz bazę danych, logowanie użytkowników, „okienko” do wymiany danych z aplikacją (API) i miejsce na pliki. Dla osoby, która buduje aplikację z AI, to naszym zdaniem jedna z najkrótszych dróg do produktu z kontami klientów — sami z niej korzystamy w SzybkoPisz. Pod jednym warunkiem: trzeba rozumieć, czym się zamyka dane.

Co to jest

Wyobraź sobie, że otwierasz restaurację. Możesz sam budować kuchnię, magazyn, szatnię i okienko wydawania. Możesz też wynająć gotowe zaplecze i zająć się tym, co gotujesz. Supabase to takie wynajęte zaplecze:

• magazyn to baza danych PostgreSQL, sprawdzona i używana od dekad;
• szatnia z numerkami to logowanie: kto przyszedł, który płaszcz jest czyj;
• okienko wydawania to API, przez które Twoja aplikacja odbiera i oddaje dane;
• spiżarnia to miejsce na pliki: zdjęcia, faktury, załączniki.

Dlaczego to dobry wybór dla budujących z AI:

• najtrudniejsze rzeczy są zrobione — bezpieczne przechowywanie haseł, sesje, maile z potwierdzeniem konta i resetem hasła; tej części nie warto pisać samemu;
• ma obszerną dokumentację — to popularne narzędzie, więc agent AI ma z czego korzystać;
• nie zamyka drogi — pod spodem jest zwykły PostgreSQL, więc dane da się kiedyś przenieść.

W naszych projektach, m.in. w szybkopisz.pl, Supabase obsługuje bazę i logowanie od pierwszego dnia.

Dane w Unii Europejskiej. Przy zakładaniu projektu wybierasz region serwerów. Są regiony w UE, m.in. Irlandia, Frankfurt i Paryż — projekt SzybkoPisz stoi w Irlandii. Supabase udostępnia też umowę powierzenia przetwarzania danych (Data Processing Addendum), o której warto wspomnieć w polityce prywatności. Lista regionów

Co się psuje w prawdziwej aplikacji

Klucz publiczny bez reguł. Przeglądarka klienta rozmawia z Supabase bezpośrednio. Używa klucza publicznego, widocznego w kodzie strony. Tak ma być, ale to znaczy, że dane chronią wyłącznie reguły RLS. Tabela bez reguł to magazyn z otwartymi drzwiami.

Klucz kierownika w złych rękach. Supabase ma też klucz serwisowy (service_role), który otwiera wszystko i omija wszystkie reguły. To klucz kierownika do całego zaplecza. Jego miejsce to serwer: webhooki, zadania w tle, panel administratora. Jeśli trafi do przeglądarki albo do ustawień z przedrostkiem NEXT_PUBLIC_, każdy odwiedzający dostaje pełny dostęp do bazy.

Pułapki darmowego planu (stan na 8.10.2026, z cennika Supabase):

• 2 aktywne darmowe projekty na całe konto. Liczą się łącznie wszystkie organizacje, w których jesteś właścicielem lub administratorem. Założenie nowej organizacji limitu nie omija.
• Usypianie. Darmowy projekt, w którym przez tydzień nic się nie dzieje, zostaje wstrzymany. Wtedy aplikacja przestaje działać.
• Brak kopii zapasowych po stronie Supabase. Na darmowym planie trzeba je robić samemu. W SzybkoPisz robimy własne kopie bazy co 6 godzin i przećwiczyliśmy ich odtworzenie.

Limit maili logowania. Wbudowana poczta Supabase (potwierdzenie konta, reset hasła) wysyła domyślnie 2 maile na godzinę i tylko na adresy osób z Twojego zespołu w projekcie — prawdziwy klient maila w ogóle nie dostanie. Supabase sam pisze, że nie jest to poczta na produkcję. Przed startem podpinasz własnego dostawcę poczty (sprawdzone 8.10.2026, dokumentacja Supabase).

Ile kosztuje Supabase — cennik (stan na 8.10.2026)

Według cennika z 8.10.2026 (złotówki orientacyjnie, kurs NBP 3,9132 zł za 1 USD, bez VAT):

• Free: 0 zł, z ograniczeniami opisanymi wyżej.
• Pro: od 25 USD (ok. 98 zł) miesięcznie za organizację, czyli za całe konto firmowe, a nie za projekt. W cenie jest 10 USD kredytu na serwer bazy, co pokrywa jeden najmniejszy projekt. Każdy kolejny projekt w tej organizacji to ok. +10 USD (ok. 39 zł) miesięcznie. W Pro dostajesz m.in. codzienne kopie (z 7 dni), brak usypiania i wyższe limity.
• Blokada wydatków jest w Pro włączona od początku. Po przekroczeniu limitów Supabase ogranicza działanie projektu, zamiast doliczać opłaty. Wyłączenie blokady usuwa ograniczenia, ale za nadwyżki płacisz.

Dla małej aplikacji z jednym projektem rachunek to zwykle po prostu cena Pro. Aktualne kwoty: cennik Supabase.

Jak to sprawdzić u siebie

1. Ostrzeżenia w panelu. Otwórz listę tabel i zakładkę Security Advisor. Ostrzeżenie „RLS disabled” albo uwagi o regułach to usterki do naprawy, zanim wpuścisz klientów.
2. Test dwóch kont i test obcego. Opisujemy je krok po kroku na stronie RLS.
3. Gdzie leży klucz kierownika. Klucz serwisowy ma występować tylko w kodzie, który działa na serwerze.

1. Plan a ryzyko. Zanim przyjdą płacący klienci: plan Pro albo własne, przećwiczone kopie zapasowe. Sprawdź też, czy projekt nie zostanie uśpiony.
2. Poczta. Przejdź rejestrację i reset hasła na prawdziwej skrzynce, już na produkcji.

Dokumentacja: Supabase — RLS, Supabase — cennik.

W code2saas: brama B1

Supabase pojawia się w bramie B1 „Bezpieczeństwo” (reguły RLS, klucze, sekrety) i w bramie B2 „Konta” (logowanie, reset hasła, poczta, usuwanie konta). Każdy punkt zamykamy dowodem: wynikiem zapytania, testem dwóch kont, zrzutem ustawień. Nie zdaniem „agent mówi, że jest dobrze”. Jeśli budujesz na Supabase i chcesz przejść te bramy z prowadzeniem, wyślij zgłoszenie do Buildera.

Najczęstsze pytania

Czy mogę mieć więcej darmowych projektów, zakładając nowe organizacje?

Nie. Limit 2 aktywnych darmowych projektów liczy się łącznie dla wszystkich organizacji, w których jesteś właścicielem lub administratorem.

Czy Supabase nadaje się dla kogoś, kto nie programuje?

Tak, z jednym warunkiem: od pierwszego dnia każda tabela ma reguły RLS, a ich działanie sprawdzasz testem dwóch kont. Bez tego to najszybsza droga do wycieku danych.

Czy Supabase można postawić na własnym serwerze?

Tak, jest wersja do samodzielnego hostowania. Wtedy jednak aktualizacje bezpieczeństwa, kopie i dyżur przy awariach są na Tobie, a całość stoi na tym samym serwerze co reszta Twoich usług. Na start zwykle bardziej opłaca się wersja w chmurze; własny serwer ma sens przy dużej skali albo szczególnych wymaganiach prawnych.

Jak działa logowanie w Supabase?

Zajmuje się nim moduł Supabase Auth: zakłada konta, przechowuje hasła w bezpiecznej postaci, wysyła maile z potwierdzeniem i resetem hasła oraz wydaje aplikacji „przepustkę” zalogowanego użytkownika. Ty decydujesz tylko, które metody logowania włączasz (np. e-mail i hasło, Google) i podpinasz własną pocztę na produkcję.