Supabase: qué es, para qué sirve y límites del plan gratis

Supabase es una plataforma que le da a tu app todo lo que necesita “detrás de la pantalla”: una base de datos (donde se guardan clientes, pedidos, citas), un sistema de usuarios y login, almacenamiento de archivos y funciones de servidor. Sirve para que no tengas que montar tu propio servidor. Es la base de datos que usan por defecto muchas apps hechas con Lovable, Bolt y otras herramientas de IA. Tiene plan gratuito con límites y planes de pago desde $25 USD al mes (a noviembre de 2026).

Supabase: qué es, en palabras simples

Una app tiene dos partes:

• Frontend: lo que ves (botones, pantallas).
• Backend: lo que guarda y procesa datos.

Supabase es un backend listo para usar. Por dentro usa PostgreSQL (o Postgres), una base de datos muy robusta y usada en empresas de todo tamaño. Encima, Supabase agrega:

• Auth: registro, login con correo, Google y otros.
• Storage: archivos como fotos, PDFs, comprobantes.
• Edge Functions: pedazos de código que corren en el servidor, por ejemplo para cobrar con Stripe o llamar a una IA sin exponer llaves.
• Realtime: que los cambios se vean al instante en todas las pantallas.

Para qué sirve Supabase

1. Guardar datos de tu app: clientes, productos, pedidos.
2. Manejar cuentas de usuario sin programarlo desde cero.
3. Guardar archivos subidos por usuarios.
4. Ejecutar lógica segura en el servidor.
5. Ser el backend de apps hechas con IA: Lovable, Bolt y otras se conectan a Supabase.

Si usas Lovable, puede que tu app use Lovable Cloud en lugar de una cuenta de Supabase propia. Si quieres más control, puedes migrar de Lovable Cloud a Supabase.

¿Supabase es gratis o se paga?

Ambas. Según supabase.com/pricing, a noviembre de 2026:

Límites de Supabase gratis

Recurso	Plan Free
Base de datos	500 MB por proyecto
Usuarios activos al mes	50,000
Archivos (storage)	1 GB
Transferencia (egress)	5 GB + 5 GB en caché
Proyectos activos	2
Inactividad	Se pausan tras 1 semana sin actividad

Plan Pro

Desde $25 USD al mes, con límites mayores y sin pausa por inactividad. Hay planes Team y Enterprise para empresas.

¿El plan gratis alcanza para mi negocio?

Para un prototipo o una app con pocos usuarios, sí. Lo que más suele obligar a pagar:

• La pausa por inactividad: si nadie usa la app en una semana, se pausa y tus clientes ven errores.
• No tener respaldos automáticos al nivel que necesita un negocio. Revisa en la página de precios qué respaldos incluye cada plan.
• Archivos: 1 GB se llena rápido con fotos.

Si la app ya tiene clientes reales, el plan Pro es lo razonable.

Lo más importante de Supabase: la seguridad

Supabase usa dos llaves:

• anon (pública): va en el código de tu app; cualquiera puede verla.
• service_role (secreta): salta todas las reglas de seguridad; nunca debe estar en el frontend.

Lo que protege tus datos de la llave pública es RLS (Row Level Security, seguridad por filas): reglas que dicen “cada usuario solo ve sus propios registros”. Si una tabla no tiene RLS, cualquiera con la llave pública puede leerla o modificarla.

No es teoría: la vulnerabilidad CVE-2025-48757 (mayo de 2025) documentó que 170 de 1,645 apps de la vitrina de Lovable dejaban leer o escribir tablas de Supabase con la llave anon.

Aprende más:

• Qué es RLS en Supabase
• Supabase RLS disabled in public: qué significa
• Service role key expuesta

Qué revisar en tu proyecto de Supabase

1. En el panel, ve a Advisors (o el asesor de seguridad) y revisa las alertas.
2. Confirma que todas las tablas tengan RLS activado y políticas definidas.
3. Busca en tu código si aparece la service_role key.
4. Revisa qué plan tienes y si incluye respaldos.
5. Prueba con dos cuentas de usuario que una no vea datos de la otra.

Errores comunes con Supabase

• Proyecto pausado por inactividad en el plan Free justo cuando llega un cliente.
• Correos de confirmación que no llegan: ver Supabase error sending confirmation email.

Ejemplo: cómo se ve una regla RLS

Para que entiendas qué protege RLS, este es un ejemplo típico en SQL (el lenguaje de las bases de datos). Supón una tabla pedidos con una columna user_id que guarda quién creó cada pedido:

-- Activar RLS en la tabla
alter table pedidos enable row level security;

-- Cada usuario solo puede ver sus propios pedidos
create policy "ver mis pedidos"
on pedidos for select
using (auth.uid() = user_id);

-- Cada usuario solo puede crear pedidos a su nombre
create policy "crear mis pedidos"
on pedidos for insert
with check (auth.uid() = user_id);

Sin estas reglas, cualquiera con la llave pública de tu app podría consultar todos los pedidos de todos tus clientes. Con ellas, la base de datos misma rechaza las consultas indebidas, aunque alguien manipule la app desde su navegador.

No copies reglas a ciegas: cada tabla necesita las suyas según quién debe leer, crear, editar o borrar. Si la IA generó tu base de datos, revisa una por una.

Cierre

Supabase es una gran base para apps hechas con IA, siempre que se configure bien su seguridad. Si tu app usa Supabase y no estás seguro de que tus tablas estén protegidas, en Black Engine hacemos esa revisión; escríbenos por WhatsApp.