Supabase est une plateforme de backend open source, publiée sous licence Apache 2.0 et bâtie sur PostgreSQL, qui fournit les mêmes services que Firebase : base de données, comptes utilisateurs, fichiers, temps réel et fonctions serveur. Pour un SaaS ou une application web dont les données sont liées entre elles (clients, factures, lignes de facture), elle représente le choix le plus solide, avec une facture prévisible et la possibilité de partir avec vos données. Firebase reste plus complet pour une application mobile grand public qui doit fonctionner hors ligne et envoyer des notifications. Le détail pèse lourd : une politique de sécurité mal écrite, un plan gratuit qui se met en pause ou une migration mal préparée peuvent coûter des semaines de travail.
En Bref
- Plan gratuit Supabase : 500 Mo de base, 1 Go de fichiers, 2 projets actifs, mise en pause après 7 jours sans activité.
- Plan Pro à partir de 25 $ par mois (un peu plus de 20 € convertis), avec plafond de dépense activé par défaut.
- Firebase facture chaque lecture au-delà de 50 000 lectures gratuites par jour.
- Région de Paris disponible chez les deux, mais seul Supabase peut s’installer sur votre propre serveur.
- Mode hors ligne, notifications push et statistiques d’usage : avantage Firebase.
Supabase, c’est quoi exactement ?
Supabase est un backend as a service (BaaS) : un ensemble de services hébergés qui remplace le serveur que vous auriez dû coder et maintenir vous-même. Vous créez un projet dans le navigateur, vous décrivez vos tables, et votre application peut aussitôt enregistrer un client, connecter un utilisateur ou stocker une facture en PDF. L’éditeur, Supabase Inc., est une société américaine fondée en 2020.
Les briques de Supabase : base PostgreSQL, authentification, stockage, temps réel et fonctions
Toutes les briques lisent et appliquent leurs règles dans la même base :
- Base PostgreSQL : une base de données relationnelle où chaque type d’information a sa table (clients, factures, lignes), avec une API générée automatiquement à partir de ces tables.
- Authentification : e-mail, liens magiques, Google, Apple, GitHub ou SMS, jusqu’à 50 000 utilisateurs actifs par mois sur le plan gratuit.
- Stockage : des fichiers compatibles S3, par exemple les PDF de vos factures.
- Temps réel : l’écran se met à jour dès qu’une ligne change, sans recharger la page.
- Edge Functions : des fonctions serverless en TypeScript, du code exécuté à la demande sans serveur à gérer, comme l’envoi d’un e-mail quand une facture est validée.
La protection des données passe par la sécurité au niveau des lignes (Row Level Security, RLS) : une règle écrite dans la base qui décide, ligne par ligne, qui peut lire ou modifier quoi. Exemple : un client connecté ne voit que les factures portant son identifiant. Une politique mal écrite ne déclenche aucune alerte et laisse les données exposées. Trois erreurs reviennent souvent. Une table créée sans activer RLS devient lisible par n’importe qui disposant de la clé publique de l’application. Une politique trop large, du type « autoriser si vrai », ouvre tout à tous les comptes. La clé service_role, qui contourne toutes les règles, se retrouve parfois dans du code exécuté par le navigateur : considérez-la alors comme divulguée et régénérez-la. Le message « new row violates row-level security policy » (code 42501) signale en général une politique d’insertion manquante.
Pourquoi Supabase est présenté comme l’alternative open source à Firebase
Supabase reprend la liste des services de Google avec deux différences de fond : son code est public, et sa base est un PostgreSQL standard. Ce moteur est utilisé par 49 % des développeurs professionnels selon le Stack Overflow Developer Survey 2024. Pour une PME, cela signifie des compétences faciles à recruter et une dépendance au fournisseur réduite.
SQL contre NoSQL : la différence qui change tout au bout d’un an
Firestore, la base phare de Firebase, est une base NoSQL orientée documents : chaque client est une fiche libre, rangée dans une collection, sans structure imposée. Supabase organise les données en tables aux colonnes définies, interrogées par des requêtes SQL. L’écart apparaît quand les données se relient : un client a des factures, chaque facture a des lignes, chaque ligne renvoie à un produit. Avec Firestore, on recopie souvent le nom du produit dans chaque ligne, et un changement de nom oblige à corriger toutes les copies. En SQL, les jointures entre les tables assemblent ces informations en une seule requête, à partir d’une donnée stockée une fois. Google a réduit l’écart : Firestore Enterprise gère des jointures par sous-requêtes, et Firebase SQL Connect (nouveau nom de Data Connect depuis le 22 avril 2026) branche une base PostgreSQL hébergée dans Cloud SQL.
Supabase face à Firebase, fonction par fonction
Côté Google, Firebase Studio n’accepte plus d’inscriptions depuis juin 2026 et sa fermeture est annoncée pour le 22 mars 2027.
| Fonction | Supabase | Firebase |
|---|---|---|
| Base | PostgreSQL relationnel | Firestore NoSQL, SQL Connect en option |
| Authentification | 50 000 actifs/mois gratuits | 50 000 actifs/mois gratuits |
| Fichiers | 1 Go gratuit, 100 Go en Pro | Plan payant Blaze obligatoire |
| Temps réel | 500 connexions en Pro plafonné | Natif, très mature |
| Mode hors ligne | Non natif | Cache et resynchronisation |
| Push, statistiques | Services tiers | Cloud Messaging, Crashlytics, Analytics |
| Auto-hébergement | Possible | Impossible |
| Facturation | Abonnement à capacité | Paiement à l’usage |
Tarifs : un abonnement prévisible contre une facturation à la lecture
Supabase vend une capacité, Firebase facture chaque opération. Sur la grille relevée par Digitiz le 22 septembre 2026 (prix en dollars, convertis en ordre de grandeur), le plan Pro coûte 25 $ par mois, un peu plus de 20 €, avec 8 Go de base et des sauvegardes quotidiennes. Son plafond de dépense est activé par défaut : au-delà du quota, le service est bridé sans surcoût. Chez Firebase, la facturation à l’usage du plan Blaze compte chaque lecture au-delà du quota gratuit, et une page qui relit toute une collection à chaque affichage fait grimper la note. Ses plafonds coupant le service ne couvrent pas Firestore, qui n’envoie que des alertes par e-mail. Consultez la grille officielle de Supabase et de Firebase avant de souscrire.
Souveraineté, RGPD et auto-hébergement : ce que l’open source permet vraiment
Les deux plateformes hébergent vos données à Paris : région Paris chez Supabase, europe-west9 chez Firebase. Google et Supabase Inc. restent des sociétés américaines soumises au Cloud Act, une loi qui permet aux autorités des États-Unis d’exiger l’accès à des données détenues par ces entreprises, même stockées en Europe. Le plan Team, à partir de 599 $ par mois (plus de 500 €), ajoute les attestations SOC 2 et ISO 27001, utiles face aux questionnaires de sécurité de vos clients. Dans les négociations d’accords sur les outils numériques que j’accompagne, la localisation des données des salariés figure parmi les premières questions des représentants du personnel, et une architecture documentée raccourcit nettement les échanges.
La licence Apache 2.0 autorise l’auto-hébergement : vous installez Supabase sur un serveur loué chez un hébergeur français, hors juridiction américaine. Cette option demande un vrai travail d’exploitation. La pile de référence tourne sous Docker Compose, ou Kubernetes en production, et vous reprenez à votre charge les sauvegardes testées, la supervision, les mises à jour de sécurité de chaque composant et la configuration de l’authentification et du stockage. L’hébergeur Binadit décrit pour une sortie du cloud Supabase un calendrier de deux à trois semaines : environ cinq jours de déploiement, puis la copie de la base, des comptes et des fichiers, puis la bascule. Le coût principal tient au temps mensuel d’un administrateur, qui s’ajoute à la location du serveur.
Migrer de Firebase vers Supabase : les étapes et les pièges à prévoir
La modélisation représente l’étape la plus longue d’une migration de Firestore vers PostgreSQL :
- Dessinez le schéma : chaque collection devient une table, chaque sous-collection une table liée par une clé (les factures d’un client reçoivent une colonne client_id).
- Exportez les documents en JSON avec les scripts du dépôt communautaire firebase-to-supabase, puis importez-les ; les sous-collections exigent un traitement sur mesure.
- Migrez les comptes de Firebase Auth avec les scripts dédiés, en prévoyant du temps pour la reprise des mots de passe, encore peu documentée.
- Réécrivez les règles de sécurité Firebase en politiques RLS, table par table, et testez-les avec un compte non administrateur.
- Copiez les fichiers du stockage, puis adaptez le code client qui lisait des documents.
Le dépôt recense des imports qui écrivent zéro ligne ou ne s’arrêtent jamais. Comptez les enregistrements avant et après chaque import.
Les limites de Supabase à connaître avant de se lancer
Le mode hors ligne n’est pas natif. Firestore garde les données en cache et les resynchronise au retour du réseau, alors que le SDK de Supabase reste en retrait sur ce point. Une application de terrain devra embarquer une base locale et gérer elle-même la file d’attente et les conflits. Les notifications push demandent aussi un montage complet : une table pour les jetons des appareils, un trigger Postgres qui appelle une Edge Function, puis FCM pour Android et APNs pour iOS, avec gestion des jetons expirés et des relances. Le service Entrig propose de générer cette chaîne par configuration. Aucun équivalent à Google Analytics ou Crashlytics n’est intégré. Le temps réel plafonne enfin à 500 connexions simultanées sur le plan Pro avec plafond actif et ralentit quand beaucoup d’utilisateurs suivent les mêmes données ; le mode Broadcast règle ce point au prix d’une configuration supplémentaire.
Supabase ou Firebase : quel choix selon votre projet ?
Supabase convient à un SaaS B2B, un outil métier ou un tableau de bord aux données reliées, surtout si vos clients exigent un hébergement documenté ou une sortie possible. Firebase convient à une application mobile grand public aux données simples (messagerie, fil d’actualité, jeu), qui a besoin du hors ligne, des notifications et de statistiques gratuites, ou à une équipe déjà installée dans Google Cloud.
On en dit Quoi ?
Pour un fondateur de SaaS ou un chef de projet en PME, Supabase constitue le choix par défaut le plus sûr : SQL standard, réversibilité des données par simple export PostgreSQL, budget plafonné. Un développeur débutant y gagne un modèle de données propre dès le premier jour. Pour une application mobile grand public, Firebase garde l’avantage.
Prochaine étape : listez vos trois ou quatre entités principales et leurs liens. Si elles se renvoient les unes aux autres, ouvrez un projet gratuit Supabase, activez RLS sur chaque table et testez vos politiques avec un compte de test avant d’y verser des données réelles.
FAQ
Supabase est-il gratuit ?
Oui, avec un plan gratuit qui inclut 500 Mo de base, 1 Go de fichiers, 50 000 utilisateurs actifs par mois et deux projets actifs. Ce plan se met en pause après sept jours sans activité, ce qui le rend inadapté à un site en production peu fréquenté. Le plan Pro démarre à 25 $ par mois, soit un peu plus de 20 € convertis, selon la grille relevée en septembre 2026.
Peut-on migrer facilement de Firebase vers Supabase ?
Pas sans préparation. Les scripts existent pour exporter les documents et les comptes, mais la difficulté vient du modèle de données : il faut transformer collections et sous-collections en tables reliées, réécrire les règles de sécurité en politiques RLS et adapter le code qui lisait Firestore. Prévoyez une phase de modélisation avant tout import et vérifiez le nombre d’enregistrements à chaque étape.
Supabase est-il conforme au RGPD pour une entreprise française ?
Supabase permet d’héberger vos données dans la région de Paris, ce qui répond aux exigences de localisation. L’éditeur reste une société américaine soumise au Cloud Act. Pour écarter ce point, la licence Apache 2.0 autorise l’auto-hébergement chez un hébergeur français. La conformité dépend ensuite de vos contrats de sous-traitance, de votre registre des traitements et de vos procédures internes.
Supabase est-il plus sécurisé que Firebase ?
Aucun des deux n’est plus sûr par nature. Supabase centralise les droits dans la base avec RLS, appliqués quel que soit le client qui interroge ; Firebase applique ses règles service par service et rejette directement les requêtes non autorisées. Chez Supabase, une table sans RLS activé ou une clé service_role exposée ouvre les données : la sécurité réelle dépend de vos politiques et de leurs tests.