Héberger Supabase sur un VPS en 2026

Supabase n'est pas une boîte noire : c'est un ensemble de services open source (PostgreSQL, GoTrue pour l'auth, PostgREST pour l'API, Realtime, Storage, Kong en gateway) orchestrés ensemble. La version cloud facture par projet et par utilisateur actif, et met en pause les projets gratuits inactifs. En self-hostant sur un VPS, vous obtenez un backend-as-a-service complet sans ces limites, avec un accès direct à votre PostgreSQL pour les migrations, les extensions (pgvector, PostGIS) et le tuning. C'est idéal pour une agence qui héberge plusieurs apps clientes, un SaaS en démarrage qui veut maîtriser ses coûts, ou tout projet exigeant la souveraineté des données. Vous gérez vous-même les mises à jour et la sauvegarde, en échange d'une liberté totale.

Supabase self-hosted lance une dizaine de conteneurs (Postgres, Kong, GoTrue, PostgREST, Realtime, Storage, Studio, Meta, Imgproxy...), c'est donc une stack plus gourmande qu'une simple base. Comptez un minimum de 2 vCPU et 4 Go de RAM pour un environnement de test, et plutôt 4 vCPU avec 8 Go de RAM et 80 Go de SSD pour de la production. Côté logiciel : Ubuntu 22.04/24.04 LTS, Docker et Docker Compose v2, un nom de domaine pointant vers le VPS (ex : api.monsaas.com) pour exposer la gateway en HTTPS, et un reverse proxy comme Caddy, Traefik ou Nginx pour gérer le SSL. Prévoyez aussi de générer des secrets robustes (JWT_SECRET, clés anon et service_role).

Il est tentant d'écrire un docker-compose minimal avec seulement les quelques services dont vous avez besoin. En pratique, cela casse : l'image supabase/postgres exécute son propre script de migration (migrate.sh) qui provisionne les rôles de base (supabase_admin, authenticator, supabase_auth_admin...) et l'intégralité du schéma d'authentification, et elle attend la présence des fichiers SQL d'initialisation de Supabase montés comme fichiers, avec expansion des variables à l'exécution. Un compose inline autonome ne peut pas reproduire cela (Docker Compose interpole les variables à l'intérieur des configurations inline, laissant le schéma d'authentification à moitié migré et GoTrue échouer avec 'must be owner of function auth.uid()'). L'approche robuste — celle qu'utilise ServOrbit — consiste à déployer les fichiers Docker officiels de Supabase, figés sur une version précise, et à laisser son migrate.sh faire l'amorçage exactement comme le prévoit l'upstream.

Le déploiement Docker de Supabase ne sauvegarde rien tout seul : c'est le manque le plus souvent signalé par ceux qui l'auto-hébergent. Deux mécanismes se complètent. Le premier, pg_dump, produit une copie logique complète — lancez-le par cron depuis l'hôte, vers un volume distinct de celui de la base, et conservez plusieurs générations. Le second, l'archivage WAL, journalise chaque transaction et permet de remonter à un instant précis plutôt qu'au dernier dump. Le premier suffit à la plupart des projets ; le second devient nécessaire dès que perdre une journée d'écritures n'est pas acceptable. Dans les deux cas, la sauvegarde ne vaut que si vous avez déjà restauré une fois : montez une instance vierge et rejouez votre dump dedans avant d'en avoir besoin.

La composition Docker officielle embarque Logflare, le service d'analytique interne de Supabase, sous le nom analytics. Il n'est indispensable ni à l'API, ni à l'authentification, ni au stockage : c'est un outil d'observabilité. Sur un VPS aux ressources comptées, il est fréquent de le voir remonter en état unhealthy sans que le reste de la pile en souffre, et beaucoup d'auto-hébergeurs finissent par le commenter dans leur docker-compose.yml. Mesurez d'abord ce qu'il consomme chez vous avec docker stats avant de décider : si votre supervision passe déjà par un outil externe, vous n'y perdez rien ; si vous comptiez sur ses journaux, coupez-le seulement après avoir branché un remplaçant.

La semaine du 9 août 2026, Supabase a fait d'Envoy la passerelle API par défaut des installations self-hosted ; Kong passe en surcouche optionnelle. Envoy était déjà disponible depuis plusieurs versions via docker-compose.envoy.yml — c'est le défaut qui change.

Dans docker-compose.yml, le service s'appelle désormais api-gw et le conteneur supabase-envoy, mais l'alias réseau kong est conservé : les services qui appellent la passerelle par ce nom continuent de fonctionner. Le port HTTP reste 8000, réglable par API_GW_HTTP_PORT, donc votre reverse proxy Caddy ou Nginx n'a rien à changer.

⚠️ L'éditeur qualifie ce changement de cassant pour une PARTIE des auto-hébergeurs, et il faut savoir si vous en êtes. Trois cas : vous vous appuyiez sur le port HTTPS 8443 intégré à Kong — il n'est plus fourni par défaut, la terminaison TLS passe par docker-compose.caddy.yml ou docker-compose.nginx.yml ; vous aviez un volumes/api/kong.yml personnalisé — routes et plugins sont à porter vers la configuration Envoy, qui vit dans volumes/api/envoy/ ; vos scripts désignent la passerelle par son nom de service. Dans les trois cas, vous pouvez aussi rester sur Kong : sh run.sh config add kong.

Une vulnérabilité a été divulguée en 2026 dans GoTrue (le service d'authentification de Supabase) sous la référence CVE-2026-31813. La faille se situe dans la validation du claim iss lors de l'authentification OIDC : un token JWT signé par un fournisseur d'identité tiers (Apple ou Azure) mais avec un iss différent de celui configuré dans GoTrue était accepté dans certaines conditions de configuration.

En pratique, un attaquant qui contrôle un fournisseur OIDC enregistré dans l'application cliente peut émettre des tokens valides pour des utilisateurs arbitraires de votre instance Supabase. La portée réelle dépend de la configuration : seules les instances avec au moins un fournisseur OAuth tiers activé (Social Auth) sont concernées. Les instances qui utilisent uniquement l'authentification email/mot de passe ou les magic links ne sont pas exposées.

Le correctif est inclus dans Supabase Auth (GoTrue) 2.185.0. Pour vérifier votre version : docker compose exec auth gotrue version. Si votre version de gotrue est antérieure à 2.185.0, mettez à jour immédiatement.