Supabase Data API od 30. októbra 2026: prečo nová tabuľka bez GRANT nefunguje a čo skontrolovať v aplikácii z AI

Od 30. októbra 2026 neuvidí Supabase Data API žiadnu novú tabuľku v schéme public, kým jej niekto výslovne nepridelí prístup príkazom GRANT. Funkcia, ktorú vám AI nástroj do aplikácie pridá po tomto dátume, preto môže namiesto dát vrátiť chybu „permission denied“. Existujúce tabuľky si podľa Supabase doterajšie prístupy ponechajú, takže dnes fungujúca aplikácia sa sama od seba nepokazí. Riziko je v ďalšej zmene. Týka sa to aplikácií, ktoré čítajú dáta cez supabase-js alebo REST, teda aj projektov z Lovable a Bolt napojených na vlastný Supabase projekt.

Nižšie nájdete, čo presne sa mení, ako zistiť, či sa to týka práve vašej aplikácie, a čo skontrolovať ešte pred termínom. Ak riešite aplikáciu z AI nástroja aj v širšom zmysle, začnite naším checklistom prvej pomoci pre vibe-coded weby. Prečo AI nástroj nemusí poznať zmenu, ktorá prišla po jeho tréningu, vysvetľuje článok Čo je LLM a čo AI naozaj nevie. Keď aplikácia z AI hádže chyby a nechcete ju opravovať naslepo, pozrite si službu oprava webov po AI.

Čo sa v Supabase Data API mení 30. októbra 2026

Nová tabuľka v schéme public už nebude cez Data API dostupná automaticky, prístup jej treba prideliť explicitným príkazom GRANT.

Data API je vrstva, cez ktorú aplikácia číta a zapisuje dáta: automaticky generované REST a GraphQL rozhranie, ktoré volá knižnica supabase-js. Doteraz platilo, že každá nová tabuľka v schéme public dostala pri vytvorení oprávnenia na čítanie, vkladanie, úpravu aj mazanie pre roly anon, authenticated a service_role. Tabuľka bola cez API dostupná v momente, keď vznikla. Supabase to v oznámení o zmene v changelogu mení takto:

Krok	Doteraz	Po zmene
Vytvorenie tabuľky v public	Tabuľka je cez Data API dostupná hneď	Tabuľka existuje, ale Data API ju nevidí
Prístup pre anon, authenticated a service_role	Automaticky cez predvolené oprávnenia	Povinný explicitný príkaz GRANT
Zapnutie RLS na tabuľke	Bez zmeny	Bez zmeny
Pravidlá RLS (policies)	Bez zmeny	Bez zmeny

Zmena prichádza v troch krokoch. Od 28. apríla 2026 sa dalo nové správanie zapnúť pri zakladaní projektu. Od 30. mája 2026 je predvolené pre všetky nové projekty. Od 30. októbra 2026 sa uplatní na všetky existujúce projekty. Podľa plánu v oznámení mal Supabase vlastníkom a správcom aktívnych projektov poslať upozornenie 23. septembra a posledné pripomenutie 23. októbra. Self-hosted inštalácie Supabase podľa oznámenia zasiahnuté nie sú.

Ak tabuľke prístup chýba, API vráti chybu s kódom 42501 a správou „permission denied for table“, pričom v poli hint priamo napíše, ktorej role chýba aké oprávnenie a aký príkaz to opraví. Supabase zmenu zdôvodňuje tým, že tabuľky dnes nevytvára len človek, ale aj AI agenti, skripty a AI platformy, často bez toho, aby niekto zmenu skontroloval. Predvolené oprávnenia tak sprístupnili aj tabuľky, ktoré niekto zabudol zabezpečiť.

Supabase Data API a aplikácia z Lovable alebo Bolt: týka sa vás to?

Týka sa vás to, ak aplikácia číta tabuľky cez Data API a do projektu ešte pribudnú nové tabuľky.

Supabase uvádza tri situácie, v ktorých treba konať: aplikácia číta alebo zapisuje tabuľky v public cez Data API (supabase-js, iná klientska knižnica alebo priame volania na /rest/v1/ či /graphql/v1), migrácie vytvárajú tabuľky bez príkazov GRANT, alebo AI nástroj či skript vytvára tabuľky a očakáva, že budú dostupné hneď. Naopak, ak aplikácia s databázou hovorí len cez priame pripojenie k Postgresu (connection string, ORM, vlastný server), zmena sa jej netýka.

Pri AI builderoch rozhoduje, kde dáta naozaj bežia. Lovable podľa svojej dokumentácie k napojeniu Supabase pri pripojenom vlastnom projekte sám navrhuje schému, po vašom schválení spúšťa migrácie a ukladá ich do priečinka supabase/migrations/ v kóde. Predvolene však používa vlastný vstavaný backend Lovable Cloud, postavený na open-source základe Supabase a spravovaný Lovable. Bolt podľa pomocníka k integrácii Supabase zakladá nové projekty s vlastnou databázou Bolt a Supabase ponúka ako alternatívu v plánoch Pro a Teams.

Vaša situácia	Zasiahne vás zmena?	Čo urobiť
Lovable alebo Bolt napojený na váš vlastný Supabase projekt	Áno, ak aplikácia používa Data API	Skontrolovať migrácie a nové tabuľky podľa postupu nižšie
Vlastná aplikácia na Supabase so supabase-js	Áno	Doplniť GRANT do každej migrácie, ktorá vytvára tabuľku
Lovable Cloud alebo databáza Bolt	Oznámenie Supabase tieto spravované backendy nespomína	Overiť v dokumentácii alebo changelogu daného nástroja
Priame pripojenie k Postgresu cez connection string	Nie	Nič
Self-hosted Supabase	Nie	Nič

Ak vám od Supabase prišiel e-mail o „affected projects“, neznamená to, že aplikácia 30. októbra spadne. Správca projektu Supabase v diskusii k zmene na GitHube vysvetlil, že počet dotknutých projektov sa vzťahuje na zmenu z 30. októbra, keď nové tabuľky v existujúcich projektoch začnú vyžadovať explicitné oprávnenia. Existujúce tabuľky podľa neho zasiahnuté nebudú. Rozhodnúť sa teda treba podľa toho, či do projektu ešte budete pridávať funkcie.

Granty a RLS: dve vrstvy, ktoré sa nesmú zameniť

GRANT rozhoduje, či sa rola k tabuľke vôbec dostane, RLS rozhoduje, ktoré riadky uvidí. Potrebujete oboje.

Supabase to v návode Securing your API opisuje ako dve vrstvy kontroly prístupu. Granty určujú, ktoré roly sa k tabuľke, pohľadu alebo funkcii cez Data API dostanú. Row Level Security (RLS) určuje, ktoré riadky tieto roly môžu čítať alebo meniť. Zmena z 30. októbra sa týka iba prvej vrstvy. RLS funguje ďalej rovnako.

Pri oprave tejto chyby hrozí iný problém. Chyba „permission denied“ sa dá umlčať jedným hromadným príkazom, ktorý pridelí prístup ku všetkým tabuľkám naraz. Ak však tabuľka nemá zapnuté RLS, podľa dokumentácie Supabase ju môže čítať aj meniť každá rola s oprávnením, teda aj rola anon, pod ktorou chodia neprihlásení návštevníci. RLS je predvolene zapnuté pri tabuľkách vytvorených v Dashboarde. Tabuľky z SQL editora alebo z iného nástroja ho potrebujú zapnúť výslovne.

Supabase preto odporúča brať tri kroky ako jeden celok: pridelenie oprávnení, zapnutie RLS a pravidlá, kto vidí ktoré riadky. Oprávnenia sa dajú prideliť po rolách, takže anonymný návštevník môže tabuľku len čítať a prihlásený používateľ aj upravovať. Ak tieto kroky rozdelíte a urobíte len prvý, chybu síce opravíte, ale dáta otvoríte aj neprihláseným návštevníkom.

Čo skontrolovať pred 30. októbrom: postup v 6 krokoch

Kontrolu urobte pred termínom, nie až keď nová funkcia v ostrej prevádzke vráti prázdnu obrazovku.

1. Zistite, či aplikácia používa Data API. Hľadajte v kóde knižnicu supabase-js alebo volania na /rest/v1/. Ak aplikácia hovorí s databázou len cez connection string, môžete skončiť.
2. Pozrite sa do Dashboardu. Supabase uvádza, že tabuľky dostupné cez Data API ukazuje odznak v Table Editore a nastavenia Data API, a Security Advisor do 30. októbra označuje dotknuté tabuľky aj s SQL príkazom na nápravu.
3. Prejdite migrácie. V projekte z Lovable ich nájdete v priečinku supabase/migrations/. Každý príkaz create table v schéme public by mal mať vedľa seba príkazy grant, zapnutie RLS a pravidlá.
4. Doplňte oprávnenia len tam, kde ich aplikácia naozaj potrebuje. Pre každú rolu zvlášť a vždy spolu so zapnutým RLS. Tabuľky, ktoré cez API dostupné byť nemajú, nechajte bez prístupu.
5. Vyskúšajte nové správanie na kópii. Supabase zverejnil príkazy, ktorými sa dá zmena zapnúť na existujúcom projekte už dnes, aj príkazy na návrat späť. Spustite ich najprv na testovacom projekte, nie na ostrej aplikácii.
6. Upravte inštrukcie pre AI nástroj. Supabase odporúča doplniť krok s oprávneniami do systémového promptu nástroja, ktorý vytvára tabuľky, alebo použiť Supabase agent skill, ktorý tento krok obsahuje.

Takto vyzerá jadro príkladu, ktorý Supabase uvádza pre novú tabuľku. Za ním nasledujú pravidlá RLS pre konkrétne riadky:

grant select on public.your_table to anon;
grant select, insert, update, delete on public.your_table to authenticated;
grant select, insert, update, delete on public.your_table to service_role;
alter table public.your_table enable row level security;

Projekt založený po 30. máji 2026 už nové správanie má, takže ak doň nahráte staré migrácie bez príkazov GRANT, napríklad pri zakladaní testovacej kópie, tabuľky v ňom cez API dostupné nebudú. Pre lokálny vývoj pridalo Supabase CLI dočasné nastavenie auto_expose_new_tables, ktoré má podľa správcu projektu zmiznúť 30. októbra 2026. Trvalým riešením sú len príkazy GRANT priamo v migráciách.

Kde sa to v praxi pokazí a ako to riešime

Najväčšie riziko prináša prvá nová funkcia po termíne, ktorú nikto neotestuje na reálnych dátach.

Modelový scenár vyzerá takto: firma si cez AI builder postaví interný nástroj alebo klientsky portál, ten mesiace funguje a v novembri si nechá doplniť novú sekciu. AI nástroj vytvorí tabuľku, aplikácia ju však nevidí a sekcia ostane prázdna alebo hlási chybu. Keď ten istý nástroj chybu „opraví“ hromadným pridelením prístupu bez RLS, problém sa presunie z viditeľnej chyby na tichý únik dát. Druhé miesto, kde sa to láme, je testovacia kópia alebo nový projekt naplnený zo starých migrácií, ktorý sa správa inak ako ostrá aplikácia.

Pre slovenské firmy, ktoré si takúto aplikáciu dali postaviť externe, je rozhodujúce, kto po 30. októbri pridáva tabuľky a či o tejto zmene vie. Ak je to AI nástroj bez upravených inštrukcií alebo dodávateľ, ktorý projekt už nespravuje, kontrolu je lepšie urobiť teraz. Ak aplikáciu dávate zákazníkom, prečítajte si aj, čo pre softvér znamená nový zákon o zodpovednosti za vadný výrobok. Princíp testovania na kópii pred zásahom do ostrej prevádzky je rovnaký ako pri aktualizáciách WordPressu cez staging a rollback.

Ako to riešime v Denve: pri oprave webov po AI začíname technickým auditom a z nálezov robíme plán s pevnou cenou ešte pred začiatkom práce. Pred prvým zásahom spravíme zálohu a pracujeme na vývojovej kópii, aby živá aplikácia bežala ďalej, a na ostro prepíname až po overení. Supabase patrí medzi technológie, s ktorými pri opravách AI webov bežne pracujeme.

Kedy to zvládnete sami a kedy s nami

Zvládnete sami, ak:

• aplikácia hovorí s databázou len cez priame pripojenie, nie cez Data API,
• do projektu už žiadne nové tabuľky nepridávate,
• rozumiete migráciám a viete si zmenu vyskúšať na testovacom projekte.

Oplatí sa prizvať nás, ak:

• Security Advisor hlási tabuľky bez RLS alebo neviete, ktoré tabuľky sú cez API verejné,
• aplikácia pracuje s osobnými údajmi zákazníkov a chyba v oprávneniach by ich otvorila,
• kód písal AI nástroj alebo bývalý dodávateľ a nikto nevie, ako sú migrácie poskladané.

Záver: čo rozhodnúť do 30. októbra

Ak vaša aplikácia nepoužíva Data API alebo do nej už nič nepribudne, môžete zmenu len zaznamenať a pokračovať. Ak ju ďalej rozvíjate cez AI nástroj, do konca októbra urobte dve veci: skontrolujte, či migrácie obsahujú príkazy GRANT spolu s RLS, a doplňte tento krok do inštrukcií nástroja. Ak neviete, ktoré tabuľky sú dnes cez API verejné, začnite tým, lebo to je otázka bezpečnosti aj bez akejkoľvek zmeny na strane Supabase.

FAQ

Časté otázky.

Prestane mi 30. októbra 2026 fungovať existujúca aplikácia na Supabase?

Sama od seba nie. Podľa Supabase si existujúce tabuľky ponechajú doterajšie oprávnenia a ostanú cez Data API dostupné. Zmena sa týka tabuliek vytvorených po 30. októbri, ktoré bez príkazu GRANT aplikácia neuvidí.

Ako zistím, či moja aplikácia používa Supabase Data API?

Používa ho, ak v kóde nájdete knižnicu supabase-js alebo volania na adresy /rest/v1/ či /graphql/v1. Aplikácia, ktorá sa k databáze pripája len cez connection string, ORM alebo vlastný server, zmenou zasiahnutá nie je.

Týka sa zmena aj Lovable Cloud alebo databázy Bolt?

Oznámenie Supabase tieto spravované backendy nespomína, preto si to overte v dokumentácii daného nástroja. Priamo sa zmena týka vlastného Supabase projektu, ktorý ste k Lovable alebo Bolt pripojili. Lovable Cloud je postavený na open-source základe Supabase, ale spravuje ho Lovable.

Stačí chybu permission denied opraviť príkazom GRANT pre všetky tabuľky?

Chybu to odstráni, ale môže to otvoriť dáta. Ak tabuľka nemá zapnuté RLS, prístup k nej dostane každá rola s oprávnením, aj anonymný návštevník. Prideľte oprávnenia len tabuľkám, ktoré aplikácia potrebuje, po rolách a vždy so zapnutým RLS a pravidlami.

Môžem nové správanie zapnúť skôr a otestovať ho?

Áno. Supabase zverejnil príkazy pre SQL editor, ktoré zmenu zapnú na existujúcom projekte už teraz, aj príkazy na návrat späť. Vyskúšajte ich najprv na testovacom projekte, potom doplňte príkazy GRANT do migrácií a až nakoniec ich spustite na ostrej aplikácii.