Supabase : notre avis pour une PME

L'essentiel

• Avis fondé sur nos tests et sur la documentation officielle consultée le 23/10/2026.

• Le backend est la partie invisible d'une application : celle qui stocke les données et vérifie qui a le droit de les voir.

• Supabase repose sur une base de données Postgres et propose connexion des utilisateurs, fichiers et fonctions.

• Gratuit : 2 projets actifs, mis en pause après une semaine d'inactivité. Pro : dès 25 $ par mois.

• Des régions européennes existent (Paris, Francfort, Irlande, Stockholm) ; un accord de sous-traitance (DPA) est disponible.

• Ce n'est pas un outil pour non-techniciens : il demande de savoir configurer des règles d'accès.

C'est quoi Supabase et à quoi sert-il en PME ?

Un backend, c'est la cuisine et la réserve d'un restaurant. La salle (l'écran que voit l'utilisateur) est le « frontend » ; la cuisine stocke, prépare et sert les données. Quand vous commandez une application sur mesure, ou que vous la générez avec un outil d'IA comme Lovable ou Bolt, il faut quelque part où ranger les clients, les commandes et les comptes utilisateurs. C'est le backend.

Supabase le propose sous forme de service. Sa documentation décrit : une base Postgres complète par projet, l'authentification (e-mail, téléphone, connexion sociale, double authentification), le stockage de fichiers, des mises à jour en temps réel, des fonctions serveur en TypeScript, le stockage de vecteurs pour l'IA et une interface d'accès (API) générée automatiquement depuis la base.

Une PME le rencontre dans trois cas : une application interne construite par un prestataire, un outil généré par une IA qui s'appuie dessus, un portail client avec comptes. Ce sont des exemples. Voir aussi Vibe coding.

Comment avons-nous testé Supabase ?

Nous avons testé Supabase. Notre avis s'appuie sur ce test ; liste des services, prix, régions, certifications, DPA et chiffrement viennent de la documentation officielle consultée le 23/10/2026.

Un point demande un profil technique : la mise en place des règles d'accès (Row Level Security : règles qui limitent les lignes visibles par chaque utilisateur).

Que vaut Supabase sur les critères qui comptent ?

Quelles sont les limites de Supabase ?

Limites publiquement documentées :

• La formule gratuite est limitée à 2 projets actifs, 500 Mo de base par projet, et met en pause les projets inactifs une semaine. Elle ne convient donc pas à un usage de production.

• La formule Pro inclut un plafond de dépenses activé par défaut, qui peut être désactivé. Passé les volumes inclus, la facturation à l'usage s'applique (stockage, utilisateurs actifs, sorties de données).

• Les certifications SOC 2 et ISO 27001 sont accessibles aux clients Team et Enterprise depuis leur tableau de bord. L'attestation HIPAA est un supplément payant en Team.

• La page de prix précise que les journaux ne sont conservés qu'un jour en gratuit et sept jours en Pro.

Combien coûte Supabase ?

Prix relevés le 23/10/2026 sur supabase.com/pricing, en dollars américains, sans mention hors taxes ou toutes taxes comprises sur la page.

Coût pour 5 puis 20 utilisateurs : la page ne facture pas par personne de l'équipe, mais par projet, calcul, stockage et utilisateurs actifs de votre application. À 5 comme à 20 personnes, le prix d'entrée du Pro reste donc « dès 25 $ par mois », avec un crédit de 10 $ par mois inclus pour une instance Micro. Le coût réel dépend de la taille de l'instance et du volume. La page de prix (23/10/2026) indique « Team members : Unlimited » sur les formules, donc aucun frais par membre d'équipe.

Supabase et RGPD : où vont vos données ?

D'après la page sécurité et la documentation des régions, consultées le 23/10/2026 :

• La base Postgres, le service d'authentification et le stockage de fichiers sont hébergés dans la région AWS que vous choisissez. Les régions européennes listées : Irlande, Londres, Paris, Francfort, Zurich, Stockholm. Londres et Zurich ne sont pas dans l'Union européenne.

• La page indique que, pour les projets en région UE, les données principales de la base restent dans la région.

• Supabase écrit « soutenir des déploiements conformes au RGPD » et ne présente pas le RGPD comme une certification. Un accord de sous-traitance (DPA) est disponible pour les clients qui en ont besoin.

• Certifications citées : SOC 2 Type 2 et ISO 27001 (rapports pour les clients Team et Enterprise), HIPAA avec accord spécifique.

• Chiffrement : AES-256 au repos, TLS en transit.

Ce que les pages consultées ne disent pas : une position sur l'usage de vos données pour entraîner des modèles d'IA. La politique de confidentialité (23/10/2026) ne mentionne pas d'entraînement. Elle dit que pour l'outil Supabase AI, l'éditeur collecte vos requêtes et les réponses générées, ainsi que la structure et les métadonnées de vos bases, et qu'il n'accède pas au contenu même des bases sans votre consentement.

Cette description ne vaut pas conclusion de conformité. À valider avec votre délégué à la protection des données ou un conseil.

Quelles alternatives à Supabase ?

Xano. Xano construit un backend et son API sans écrire de code. Le gratuit offre 1 espace de travail, 1 siège, 100 000 enregistrements et une région États-Unis uniquement. Essential : 85 $ par mois en facturation annuelle, 5 sièges ; Pro : 224 $ par mois en annuel, 10 sièges (xano.com/pricing). Sa page sécurité affiche SOC 2 Type 2, ISO 9001 et un badge RGPD ; elle ne nomme pas les régions européennes ni de DPA (xano.com/security). Choisissez Xano plutôt si vous voulez construire la logique métier visuellement.

Firebase. Firebase est le backend de Google. Le plan Spark ne demande aucun moyen de paiement ; le plan Blaze facture à l'usage et exige un compte de facturation (firebase.google.com/pricing). La page de confidentialité indique que Google est généralement sous-traitant, que certains services permettent de choisir un lieu de données, que l'authentification Firebase est servie uniquement depuis des centres de données américains, et cite ISO 27001 et SOC 1, 2 et 3 (firebase.google.com/support/privacy). Choisissez Firebase plutôt pour une application mobile déjà dans l'écosystème Google.

Pour comparer avec des outils sans backend à gérer, voir Applications no-code.

Pour qui Supabase est-il fait, et pour qui non ?

Supabase convient à une PME qui fait développer une application (en interne, par un prestataire ou avec un outil d'IA) et veut un backend standard sur Postgres, avec choix de la région d'hébergement.

Il convient moins si personne dans l'équipe ne peut configurer les règles d'accès, qui décident qui voit quelles données : elles se configurent et se vérifient. Il convient aussi moins pour un simple tableau partagé, où un outil comme Airtable suffit.

Conclusion

Supabase est un backend sérieux, basé sur Postgres, avec des régions européennes, un DPA disponible et des certifications citées. Il demande un profil technique et une vigilance sur les règles d'accès. Le Cabinet Flourens vous aide à décider si votre projet a besoin d'un backend ou d'un outil plus simple.

Réservez la revue gratuite de 30 minutes du Cabinet Flourens.