Supabase chiffre-t-il mes données ? Oui. Ce que cela arrête

Un client vous écrit pour demander si ses données sont chiffrées. Ou un client plus important envoie un questionnaire de sécurité sous forme de tableur, et on y trouve les lignes que tous ces questionnaires contiennent : chiffrement au repos, chiffrement en transit, rapport SOC 2 de votre hébergeur. Votre app tourne sur Supabase parce que Lovable ou Bolt l'a installée ainsi, et jusqu'ici personne n'avait besoin que vous sachiez ce que tout cela veut dire.

Alors, Supabase chiffre-t-il vos données ? Oui. Toutes, sur tous les forfaits, et les certificats derrière cette affirmation sont réels.

La plupart des réponses se trompent en s'arrêtant là, comme si le chiffrement décidait qui peut lire vos données. Il décide de quelque chose de plus étroit. Voyez Supabase comme une banque. Le chiffrement au repos est le coffre-fort, le chiffrement en transit est le fourgon blindé, et SOC 2 est l'inspecteur qui vérifie que les deux fonctionnent comme la banque le dit. Chacun concerne quelqu'un qui n'aurait jamais dû entrer. La règle du guichet, qui dit de qui un client peut demander le relevé, est une chose à part, et c'est dans votre projet qu'elle s'écrit.

Chaque chiffre ci-dessous a été relevé sur les pages et la documentation de Supabase le 29 septembre 2026.

Supabase chiffre-t-il mes données ?

Oui. La page sécurité de Supabase indique que toutes les données clients sont chiffrées au repos en AES-256 et en transit en TLS, et vous n'avez rien à activer.

Au repos veut dire sur les disques. Votre base de données est écrite sur le stockage sous forme chiffrée, donc une copie du disque emportée hors des machines de Supabase est illisible à elle seule.

En transit veut dire sur le trajet entre votre visiteur et Supabase. Votre app parle à Supabase par ses API web, pour les données, les connexions et les fichiers, et le guide sur l'obligation SSL de Supabase indique que chacune de ces API refuse une connexion non chiffrée. L'exception est une connexion directe à la base Postgres en dessous, celle qu'un outil de sauvegarde ou un serveur à vous peut ouvrir. Celles-là acceptent une connexion non chiffrée tant que vous n'activez pas Enforce SSL on incoming connections dans Database Settings. Les navigateurs de vos visiteurs n'en ouvrent jamais.

Le chiffrement de colonnes est la seule couche qui reste désactivée. Il garde une valeur isolée, un numéro de téléphone par exemple, brouillée même à l'intérieur de la base. Supabase documentait autrefois une façon de le faire, et sa page pgsodium déconseille désormais cette fonction, en invoquant sa complexité opérationnelle et le risque de mauvaise configuration, et ajoute que le chiffrement au repos suffit probablement pour SOC 2 et HIPAA. Pour les secrets comme la clé API d'un service tiers, il existe Vault, qui les stocke chiffrés et les rend via une vue.

Contre quoi le chiffrement de Supabase protège-t-il ?

Contre quiconque atteint vos données sans les demander à la base. Quelqu'un qui part avec un disque, copie un fichier de sauvegarde ou écoute le trafic entre un navigateur et Supabase obtient des octets brouillés, et rien d'autre.

Une requête à laquelle la base décide de répondre, c'est une autre affaire. Le chiffrement au repos agit sous Postgres, donc la base lit ses propres fichiers en clair, pour chaque requête qu'elle sert. Les requêtes qu'elle sert sont fixées par les permissions de chaque table. Dans Supabase, c'est la Row Level Security, la règle qui dit quelles lignes chaque visiteur peut lire, et chaque table doit l'avoir activée, avec une règle écrite pour elle.

C'est le guichet de la banque. Le coffre s'ouvre pour le guichetier à chaque fois, parce que le guichetier travaille pour la banque. Si personne n'a écrit de qui un client peut voir les relevés, le guichetier remet ce qu'on lui demande, et le fourgon blindé le livre, scellé tout du long, à celui qui a demandé.

La documentation de Supabase dit la même chose de Vault, qui chiffre bel et bien des valeurs à l'intérieur de la base : "quiconque a accès à la vue a accès aux secrets déchiffrés."

Le chiffrement empêche-t-il un inconnu de lire mes tables ?

Non, et nous avons mesuré à quelle fréquence cela compte. En août 2026, nous avons scanné 30 998 apps en ligne construites avec Lovable, Base44, Replit, v0 et Bolt. Pour 3 680 d'entre elles, nous avons pu mener au bout la vérification qui demande à une base Supabase, sans connexion, si une table va livrer ses lignes. Pour 2 096, soit 57 %, au moins une table le faisait, et 394 d'entre elles avaient une table ouverte portant un nom de personnes : users, profiles, customers, orders.

Chacune de ces bases était chiffrée au repos du début à la fin, selon la description que la plateforme donne de son propre fonctionnement, et tout inconnu qui aurait demandé aurait reçu les lignes en TLS. Rien dans le chiffrement n'a lâché, et il n'a joué aucun rôle dans le choix de qui obtenait une réponse.

La requête elle-même est ordinaire. C'est celle que votre propre app envoie pour montrer ses commandes à un client connecté, envoyée sans la connexion : la clé publique censée se trouver dans votre page, et un GET vers /rest/v1/ suivi d'un nom de table. Notre scan a lu combien de lignes chaque table renverrait et s'est arrêté là, sans en récupérer une seule. La mesure complète explique de quoi ces 57 % sont une part et tout ce que nous n'avons pas pu voir.

Supabase est-il conforme SOC 2 ?

Oui. Supabase détient un rapport SOC 2 Type 2 établi par un auditeur indépendant, renouvelé chaque année.

Un rapport SOC 2 est le compte rendu d'un auditeur sur le fait que les contrôles de sécurité d'une entreprise ont fonctionné comme elle le dit. Type 2 signifie qu'ils ont été testés sur toute une période, et celle de Supabase va du 1er mars au 28 février. Il couvre la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité et la vie privée, sur la base de données, Storage, Auth, Realtime, les Edge Functions et la Data API, et la page SOC 2 de Supabase marque où il s'arrête :

La conformité SOC 2 de Supabase ne se transmet pas aux environnements situés hors du produit Supabase ou hors du contrôle de Supabase.

Dans la banque, c'est le rapport de l'inspecteur sur le coffre et les fourgons. Les règles de vos tables restent en dehors, parce que c'est vous qui les écrivez : le modèle de responsabilité partagée de Supabase range la gestion des accès et l'application des contrôles de sécurité parmi ce dont le client est toujours responsable.

Deux choses en découlent. Si un client a besoin que votre entreprise soit conforme SOC 2, la page SOC 2 de Supabase indique qu'un client dans cette situation doit mettre les contrôles en place et passer son propre audit. Et savoir si Supabase est une plateforme solide pour construire est une autre question, avec son propre article.

Comment obtenir le rapport SOC 2 de Supabase ?

Depuis le tableau de bord de votre organisation, à partir du forfait Team. Il se trouve dans Legal Documents, à côté du certificat ISO 27001 et du questionnaire de sécurité standard de Supabase, et une organisation sur Free ou Pro y trouve un bouton de mise à niveau à la place.

Team commence à $599 par mois, là où Pro commence à $25, alors il vaut mieux savoir ce que la différence achète. La documentation de Supabase indique que chaque projet relève du même ensemble de contrôles de conformité, donc un projet sur Pro tourne sur la même plateforme auditée. Team ajoute les documents, plus l'authentification unique pour le tableau de bord, des sauvegardes quotidiennes conservées 14 jours là où Pro les garde 7, et l'accès à HIPAA. Si un client demande le rapport lui-même, demandez-lui si la page sécurité publique de Supabase suffit avant de changer de forfait pour un PDF.

Supabase est-il certifié ISO 27001 ?

Oui, selon ISO/IEC 27001:2022, ce que Supabase a annoncé le 22 avril 2026.

ISO 27001 certifie un système de management : les politiques, les analyses de risque et les processus qu'une entreprise utilise pour protéger les informations qu'elle détient. Un auditeur accrédité délivre le certificat pour trois ans et revient chaque année entre-temps pour vérifier que le système tourne toujours. Dans la banque, c'est l'inspecteur qui examine comment les procédures de sécurité sont décidées et tenues à jour. L'annonce de Supabase décrit SOC 2 comme largement reconnu en Amérique du Nord et ISO 27001 comme largement reconnu en Europe, en Asie et dans le secteur public. Le certificat se trouve dans la même section Legal Documents, sur les mêmes forfaits.

Supabase est-il conforme HIPAA ?

Il peut l'être pour votre projet, une fois que vous avez signé un Business Associate Agreement avec Supabase et payé son add-on HIPAA. Ce n'est pas automatique, et la page SOC 2 de Supabase indique que SOC 2 ne le remplace pas.

Un Business Associate Agreement, ou BAA, est le contrat écrit que le droit américain de la santé exige avant qu'une entreprise puisse traiter des informations de santé protégées pour votre compte. Supabase en signe un à partir du forfait Team. L'add-on n'a pas de prix publié : vous envoyez une demande, Supabase répond avec le prix et la procédure, et une organisation sur Free ou Pro qui postule doit tout de même passer à Team une fois acceptée.

La signature est le début de votre part. Le modèle de responsabilité partagée de Supabase liste ce qu'un client HIPAA doit faire, et voici les points qu'un propriétaire d'app a le moins de chances d'avoir déjà rencontrés :

• Marquer le projet comme projet HIPAA, et traiter ce que le Security Advisor signale à son sujet.
• Activer la connexion à deux facteurs sur chaque compte de l'organisation Supabase.
• Activer la restauration à un instant donné, qui exige au moins l'add-on de calcul Small.
• Activer l'obligation SSL et les restrictions réseau.
• Garder les données de santé hors des buckets de stockage publics.

Le chiffrement au repos et en transit figure aussi sur cette liste, et c'est le seul point que Supabase a déjà réglé.

Supabase est-il conforme au RGPD ?

Supabase prend en charge les apps conformes au RGPD et fournit les deux pièces que lui seul peut fournir. Que votre app soit conforme dépend de ce qu'elle fait des données des gens.

La première pièce, c'est l'emplacement. Vous choisissez une région en créant un projet, et une région précise de l'UE garde là votre base de données, Auth et Storage. Choisissez la région par son nom, car l'option générale Europe de Supabase inclut aussi Londres et Zurich. La seconde est le Data Processing Addendum, le contrat de sous-traitance que le RGPD exige entre vous et une entreprise qui traite des données personnelles pour vous. Celui de Supabase fait partie de ses conditions d'utilisation, donc chaque organisation en a déjà un.

Le reste revient à votre app : pourquoi vous collectez chaque champ, comment les gens y consentent, qui peut le lire et comment vous le supprimez sur demande. La page RGPD de Supabase dit clairement que choisir une région ne rend pas une application conforme à lui seul. Ce que votre app doit au regard de la loi est une question pour un avocat.

Comment répondre au questionnaire de sécurité d'un client ?

Répartissez-le en deux piles avant d'écrire quoi que ce soit. Certaines lignes portent sur la plateforme de Supabase et se remplissent à partir de ses documents. Les autres portent sur votre projet, et vous êtes le seul à pouvoir y répondre.

Les lignes Supabase se recopient directement depuis ses documents. Les trois dernières sont celles que le client cherchait à connaître en envoyant le questionnaire, et y répondre demande d'avoir votre propre projet ouvert devant vous.

Que répondre à un client qui demande qui peut lire les données ?

L'état de vos politiques, table par table, et la date de votre dernière vérification. "Les données sont chiffrées" répond à une question sur des disques volés, et un client qui pose la question de l'accès parle du guichet.

Une réponse franche nomme les tables qui contiennent des données personnelles et dit que chacune a la Row Level Security activée, avec une politique qui lie chaque ligne à la personne connectée à qui elle appartient. Elle dit quand vous avez vérifié pour la dernière fois, de l'extérieur, en visiteur sans connexion, que ces tables ne renvoyaient rien. Si une table est publique exprès, une liste de produits ou des articles publiés, elle le dit aussi. Puis le côté administration : qui peut ouvrir votre tableau de bord Supabase, avec la double authentification, et où se trouve la clé secrète. Cette clé s'appelle service_role dans les projets plus anciens et sb_secret_… dans les plus récents, et sa place est sur un serveur.

Pour connaître l'état de vos tables, commencez par le Security Advisor de votre tableau de bord Supabase, qui liste chaque table dont la Row Level Security est désactivée. Une table peut passer ce contrôle et rester ouverte, par une politique qui laisse entrer tout le monde. Les quatre états dans lesquels une table peut se trouver montrent comment les distinguer, et il existe un guide en langage clair pour les apps Supabase.

N'écrivez que ce que vous avez vérifié. Si vous n'avez pas encore lu la politique d'une table, donnez la date à laquelle vous le ferez.

Comment Reeve vérifie la réponse depuis l'extérieur

Les lignes qu'un questionnaire vous laisse portent sur qui obtient une réponse. Reeve interroge votre app en ligne comme le ferait un inconnu et vous dit quelles tables ont répondu.

• Le scan gratuit demande à chaque table que votre app nomme combien de lignes un visiteur sans connexion obtiendrait, lit le nombre et s'arrête sans récupérer une seule ligne. Environ 20 secondes, sans compte : scannez votre app.
• Reeve Monitor relance les neuf vérifications toutes les heures sur un maximum de trois apps et vous écrit le jour où votre note baisse, donc une table que votre builder ajoute après le renvoi du questionnaire est vérifiée dans l'heure.
• Care effectue les mêmes vérifications et garde une copie de votre base Supabase hors de votre compte Supabase, prise selon un calendrier et relue avant de compter, ce qui répond à la ligne sur les sauvegardes. Chaque copie est chiffrée en AES-256-GCM avec une clé qui appartient à votre seul compte, et notre page juridique explique comment ces clés sont conservées. Comment une copie est prise et restaurée.

Ce que couvre et coûte chaque forfait se trouve sur la page des tarifs.

Que faire maintenant

La moitié du questionnaire qui porte sur le chiffrement est déjà remplie pour vous. Avant de le renvoyer, scannez votre app et voyez lesquelles de vos tables répondent aujourd'hui à un inconnu.