¿SUPABASE ES SEGURO? ANÁLISIS DE SEGURIDAD 2026 | VIBEEVAL

RLS no es negociable

Supabase expone tu base de datos PostgreSQL directamente a los clientes vía anon key. Sin políticas de RLS, cualquier persona con la URL de tu proyecto puede leer, modificar o borrar todos los datos en las tablas desprotegidas.

Problemas de seguridad comunes

Políticas de RLS ausentes

Las tablas sin RLS activo quedan totalmente accesibles para cualquiera con la anon key, llevando a exposición completa de los datos.

Filtración de la service role key

La service_role key ignora RLS. Exponerla en el código del cliente da acceso total a la BD a atacantes.

Políticas de RLS con fallos

Las políticas de RLS con errores lógicos crean rutas de acceso no previstas. Las políticas complejas requieren pruebas exhaustivas.

Mala configuración de Storage buckets

Supabase Storage también requiere RLS. Los buckets públicos pueden exponer archivos sensibles.

Evaluación de seguridad

Puntos fuertes

• • PostgreSQL con seguridad enterprise-grade
• • Row Level Security (RLS) para control granular de acceso
• • Autenticación embebida con tokens JWT
• • Open source — auditable en seguridad
• • Conformidad SOC 2 Type II

Preocupaciones

• • Políticas de RLS a menudo ausentes o mal configuradas
• • Configuraciones por default pueden exponer datos
• • La anon key viaja al cliente — RLS es esencial
• • Filtrar la service role key concede acceso total
• • Sintaxis compleja de RLS lleva a huecos de seguridad

El veredicto

Supabase es seguro como plataforma, con la seguridad probada de PostgreSQL. El factor crítico es la configuración correcta de RLS. Habilita RLS en cada tabla, escribe y prueba las políticas a fondo y nunca expongas la service_role key en el código del cliente. Con la configuración correcta, Supabase ofrece excelente seguridad.

Recursos relacionados

Cómo proteger Supabase

Guía paso a paso de seguridad.

Checklist de seguridad de Supabase

Checklist de seguridad interactiva.

Escanea tu app Supabase

Deja que VibeEval revise tu aplicación Supabase en busca de mala configuración de RLS y vulnerabilidades.