Supabase emite guía técnica preventiva ante cambios estructurales en los permisos de su Data API

La plataforma de backend-as-a-service de código abierto Supabase y su comunidad técnica han publicado una guía técnica de preparación ante cambios estructurales críticos en los permisos por defecto de la Data API (PostgREST), los cuales entrarán en vigor de forma definitiva hacia el 30 de octubre de 2026.

¿Qué cambia en el modelo de seguridad de Supabase y PostgreSQL?

El cambio fortalece el principio de mínimo privilegio en el esquema público de la base de datos:

• Fin de la exposición automática de tablas públicas: Las tablas creadas en el esquema public ya no tendrán permisos SELECT/INSERT/UPDATE otorgados automáticamente a los roles anon y authenticated.
• Requerimiento de sentencias GRANT explícitas: Los desarrolladores deberán definir permisos granulares por tabla y columna antes de que sean accesibles vía API REST.
• Prevención de denegación accidental de servicio: Auditoría anticipada de scripts de migración en pipelines CI/CD para evitar caídas de aplicaciones web en producción.

«Este cambio eleva la seguridad de Supabase al estándar más riguroso de PostgreSQL empresarial, eliminando fugas accidentales de datos en tablas recién creadas.» — Análisis en SupaScale.

Buenas prácticas recomendadas

Revisar las políticas de seguridad a nivel de fila (Row Level Security - RLS) y automatizar los permisos mediante migraciones reproducibles de base de datos.