Supabase no Vibe Coding: limites do Free Tier, armadilhas de RLS e quando migrar para SurrealDB + Cloudflare

Se você criou um aplicativo nos últimos meses usando Lovable, Bolt.new, v0, Cursor ou Claude Code, existe uma chance de quase 100% de que o seu banco de dados seja o Supabase. A plataforma conquistou os desenvolvedores e adeptos do vibe coding por um motivo justo: em menos de dois minutos, ela entrega um banco PostgreSQL completo, tela de login pronta, upload de arquivos e uma API automática que funciona direto do navegador.

Mas existe um abismo entre o protótipo que roda bonito na primeira sexta-feira e um SaaS ou operação de infoproduto com milhares de clientes no Brasil. Quando o projeto cresce — ou quando você tenta criar agentes de IA com memória no WhatsApp — surgem quatro muros invisíveis: o banco grátis que pausa sozinho, o vazamento de dados por falha de RLS na anon_key, a cobrança em dólar multiplicada por projeto e por tráfego de saída (Egress) e o malabarismo de infraestrutura para rodar IA.

Neste guia completo, explicamos o que é o Supabase, como funciona sua tabela real de preços em 2026, como corrigir as falhas de segurança mais comuns e por que cada vez mais builders estão combinando (ou migrando para) Cloudflare Workers + R2 + SurrealDB.

O que é o Supabase e por que todo Vibe Coder começa por ele?

O Supabase é uma plataforma de Backend-as-a-Service (BaaS) código aberto construída sobre o banco de dados relacional PostgreSQL. Ele nasceu como a principal alternativa open source ao Firebase (do Google), empacotando várias ferramentas ao redor do Postgres em um único painel:

• Supabase Database: banco relacional PostgreSQL com editor visual de tabelas (Table Editor) e SQL Editor;
• Supabase Auth (GoTrue): sistema de login por e-mail/senha, Magic Link, Google/GitHub OAuth e emissão de tokens JWT;
• Supabase Data API (PostgREST): camada que transforma automaticamente suas tabelas SQL em endpoints REST consumíveis pelo front-end;
• Supabase Storage: armazenamento de arquivos (baseado no AWS S3 por trás dos panos) integrado às permissões do banco;
• Supabase Edge Functions & Realtime: funções serverless em Deno e sincronização de dados via WebSockets.

Assista: Como o Supabase funciona por dentro (Aula Inaugural Gratuita)

Quanto custa o Supabase em 2026? (A Conta Real que Não Aparece no Banner)

Quem pesquisa por Supabase é gratuito ou Supabase preço vê inicialmente dois números: US$ 0 no plano Free e US$ 25/mês no plano Pro. Porém, para quem constrói múltiplos micro-SaaS, tem ambientes de homologação (staging) ou armazena mídias (imagens, vídeos de aulas, áudios de WhatsApp), a cobrança real funciona por Compute Add-ons + Excedentes:

O Grande Perigo no Lovable e Bolt: anon_key no Navegador + RLS Mal Configurado

Quando você pede ao Lovable ou ao Bolt.new para criar um sistema, o código gerado conecta o navegador do usuário (React/Vite) diretamente ao Supabase usando duas variáveis públicas: SUPABASE_URL e SUPABASE_ANON_KEY.

Muitos iniciantes acham que a anon_key é secreta, mas ela fica visível para qualquer pessoa que abrir a aba Network do navegador. No modelo do Supabase, a única barreira que impede um visitante mal-intencionado de ler a tabela de clientes, alterar o saldo da própria conta ou apagar registros de outros usuários é o RLS (Row Level Security) dentro do PostgreSQL.

Na prática, auditando dezenas de projetos de vibe coding, encontramos sempre os mesmos 3 erros fatais:

1. Tabela criada por migration de IA sem ENABLE ROW LEVEL SECURITY: qualquer chamada supabase.from('assinaturas').select('*') no console do navegador devolve todas as vendas da empresa;
2. Política USING (true) gerada pela IA "para fazer o código funcionar": quando o agente recebe um erro 42501 (permission denied) durante o vibe coding, o atalho mais comum que o LLM toma é criar uma policy pública liberando leitura ou escrita irrestrita;
3. Coluna de cargo (role = 'admin') editável pelo próprio usuário: o usuário roda um update({ role: 'admin' }) pelo console do navegador porque a policy de UPDATE checava apenas auth.uid() = id, sem travar quais colunas podiam ser alteradas.

-- ❌ O ERRO COMUM QUE A IA FAZ NO VIBE CODING PARA "SUMIR O ERRO":
ALTER TABLE public.pedidos ENABLE ROW LEVEL SECURITY;
CREATE POLICY "Permitir leitura geral" ON public.pedidos
  FOR SELECT USING (true); -- VAZA TODOS OS PEDIDOS DO BANCO!

-- ✅ COMO PROTEGER NO SUPABASE (AULA 08 DO NOSSO CURSO GRÁTIS):
CREATE POLICY "Cliente lê apenas os próprios pedidos" ON public.pedidos
  FOR SELECT TO authenticated
  USING ((select auth.uid()) = user_id);

-- Em vez de 4 JOINs SQL + pgvector separado, em SurrealQL você caminha pelo grafo
-- e busca na memória vetorial do agente em uma única instrução:
SELECT
  id,
  resumo,
  vector::similarity::cosine(embedding, $vetor_duvida) AS score,
  <-gerou_memoria<-conversa->comprou->produto.{ titulo, slug } AS produtos_do_aluno
FROM memoria_episodio
WHERE lead = $lead_id
  AND embedding <|5, 64|> $vetor_duvida
ORDER BY score DESC;