Qualquer um consegue ler seu banco Supabase? Testamos 3.680 apps

Seu app tem uma tela de login. Atrás dela estão seus usuários, as mensagens deles, talvez os pedidos. Parece privado, e não existe um jeito óbvio de descobrir se é mesmo, porque o console do Supabase não é um lugar em que você tenha precisado entrar alguma vez.

Então fomos medir isso nos apps dos outros. Em agosto de 2026 escaneamos 30.998 apps no ar publicados a partir de Lovable, Base44, Replit, v0 e Bolt, e fizemos a cada um uma única pergunta: qualquer um consegue ler seu banco de dados Supabase sem fazer login?

Em 2.096 dos 3.680 apps em que obtivemos uma resposta clara, sim.

E aqui está a parte que tanto a versão alarmante quanto a tranquilizadora dessa história erram. Uma tabela aberta não é automaticamente um vazamento: muitas tabelas existem para ser lidas por todo mundo. Qual tabela é decide tudo, e essa pergunta só quem construiu o app consegue responder. É também por isso que ninguém percebe: o app funciona perfeitamente nos dois casos.

Qualquer um consegue ler seu banco de dados Supabase?

Em mais da metade dos apps que conseguimos verificar, sim: pelo menos uma tabela devolveu linhas para um pedido que não levava login nenhum.

Isso ser possível não tem nada a ver com algo estar quebrado. Seu app conversa com o Supabase a partir do navegador de quem visita, então ele carrega uma chave que qualquer visitante consegue ler, e essa chave foi feita para ser pública. Ela nomeia seu projeto. Sozinha, não concede nada.

Quem decide se um estranho leva seus dados é o Row Level Security: uma regra em cada tabela dizendo quem pode ler quais linhas. Sem regra, a chave é a única coisa entre a internet e aquela tabela, e a chave está escrita na sua página.

Era isso que estávamos medindo. Não se a chave estava visível (ela sempre está), mas o que o banco faz quando alguém a usa.

De que os 57% são uma fatia

De uma base que estreitamos três vezes, e o estreitamento importa mais do que a manchete.

Três coisas que não fizemos. Cada uma empurra o número real para um lado ou para o outro, e merece ser dita em vez de enterrada.

Só perguntamos por nomes de tabela que conseguimos ver ou adivinhar. O Supabase não deixa mais uma chave publicável listar as tabelas de um projeto, então lemos os nomes que cada app menciona no próprio código e acrescentamos umas duas dúzias de nomes comuns, com teto de trinta por app. Um app cujas tabelas se chamem algo que não nos ocorreu parece limpo para nós e pode não ser.

Contamos linhas, nunca as lemos. Cada sondagem perguntou ao banco quantas linhas ele entregaria e parou por aí. Nenhum dado de ninguém foi baixado, e nenhum app é citado neste artigo nem em nada que publicamos.

Quase todos os apps que conseguimos verificar eram apps Lovable. Eles são a maior fatia do que escaneamos e os mais propensos a citar o projeto Supabase na página, então leia isto como uma medição de apps Lovable com Supabase e não de todo builder. Onde a verificação não conseguiu terminar, registramos que não terminou. Um app que não conseguimos verificar é desconhecido, não limpo.

Uma tabela aberta não é automaticamente um buraco

De fora, uma tabela que qualquer um pode ler tem exatamente a mesma cara, esteja nela seu catálogo de produtos ou seus clientes. A resposta é a mesma. Só o nome muda.

É por isso que dividimos o achado em dois. Em 394 desses apps, uma das tabelas legíveis tinha um nome de uma lista curta que para nós significa pessoas: users, profiles, customers, orders, messages, invoices. Isso é um estranho lendo seus clientes, e precisa ser resolvido hoje.

As outras 1.702 não conseguimos julgar de fora, e nenhum outro scanner consegue. Uma tabela posts pode ser um blog público ou anotações privadas. Você sabe qual. Ninguém olhando seu app pela internet sabe.

Se preferir não chutar sobre o seu, nosso scan gratuito verifica seu site no ar de fora e diz quais tabelas responderam. Leva uns 20 segundos e não pede conta: escanear seu app.

Por que isso acontece com apps que ninguém abriu de propósito

Porque o conserto que faz um app quebrado voltar a funcionar costuma ser o que abre a tabela.

A sequência é esta. O Row Level Security é ligado, por você ou pelo builder. Seu app para de mostrar dados na hora, porque ligado sem regras significa que o banco recusa todo mundo, você inclusive. Você cola o erro para o seu assistente, ele escreve uma política que permite qualquer pedido, e o app volta a funcionar. Depois disso, nada parece errado.

Essa política é a que encontramos. O painel informa a tabela como protegida, porque a chave está ligada e existe uma política. O artigo sobre por que Row Level Security ligado não é a mesma coisa que protegido percorre os quatro estados possíveis de uma tabela e como reconhecer o seu.

O vazamento sobre o qual te avisaram era o raro

Em todos os 30.998 apps, uma chave secreta do Supabase parada no navegador (a chave que ignora todas as regras que você escreveu) apareceu 3 vezes.

É o vazamento sobre o qual quem tem um app ouve falar o tempo todo e o que menos encontramos. É sério quando acontece, e vale saber reconhecê-lo, mas a preocupação gasta ali vigia uma porta que quase sempre está fechada. A abertura comum nesses apps é uma tabela qualquer sem nenhuma regra.

Como verificar o seu próprio app

Dois lugares para olhar dentro do seu banco de dados Supabase, e um jeito de vê-lo de onde um estranho está.

Abra o Security Advisor no seu painel do Supabase. Ele lista cada tabela com Row Level Security desligado, que é a versão mais clara desse problema. O Supabase sinaliza bem isso, e se o seu projeto estiver nessa lista você já tem a resposta sem ler uma linha de SQL.

Depois leia as políticas de qualquer tabela que guarde pessoas. O Security Advisor não consegue decidir se uma política permissiva é proposital, porque num catálogo de produtos ela estaria correta. Abra a tabela, olhe a política e veja se ela cita uma condição ou se permite todo mundo.

Ou verifique de fora, que é onde o risco mora. Um estranho não abre seu painel. Nosso scan gratuito faz o mesmo pedido anônimo que alguém de fora faria e relata quais tabelas responderam: escanear seu app, sem conta e sem instalar nada.

O que fazer com uma tabela que não deveria ser legível

Verificar isso uma vez é uma noite. Manter a resposta verdadeira no mês que vem é a parte que não cabe numa noite, e é para isso que construímos o Reeve Care. Ele repete essa mesma verificação no seu app em uma programação e envia um e-mail quando a resposta piora, porque uma tabela que estava fechada em março e aberta em junho não é algo que alguém note de dentro do próprio app.

Ele também mantém backups próprios do seu banco de dados Supabase, feitos em uma programação, guardados fora da sua conta Supabase e relidos para verificação antes de contarem, com uma restauração que salva o estado atual antes de reproduzir qualquer coisa. Essa segunda metade importa aqui porque nós só verificamos a leitura. A mesma política permissiva pode permitir escrita, e um estranho escrevendo na sua tabela é a versão que a esvazia, e aí uma cópia de antes é a única coisa que devolve as linhas. O Care cobre o seu banco de dados, e os arquivos enviados para o Storage assim que você os conecta, no Supabase e não em todo tipo de banco: o que ele vigia e quanto custa.

Se preferir seguir por uma lista, o checklist de segurança de 10 minutos cobre isto junto com as outras coisas que vale fechar num app recém-lançado. E se uma tabela ficou aberta por um tempo, o que você poderá desfazer depois depende inteiramente de o que você estava salvando.