Next TokenParallel World

← ラボ / Claude Code ガイド / 連携台帳

Supabase, Inc.・データベース・海外　公式サイト
Postgresベースのバックエンドサービス。公式のMCP解説ページでは「Supabaseのプロジェクトに対してAIアシスタントが代わりに操作・クエリできる」と説明されている（データベース、Edge Functions、ブランチ、ストレージ等のツール群を持つ）。

Claude Codeに、どこまで権限を渡せるか

読み取り専用で渡せるか あり
公式ホスト型MCPのURLに read_only=true を付ける。設定表の説明は「Execute all queries as a read-only Postgres user」（https://supabase.com/docs/guides/getting-started/mcp）。公式リポジトリ（GitHub supabase 組織の supabase-community/supabase-mcp）のREADMEにも例 https://mcp.supabase.com/mcp?project_ref=<project-ref>&read_only=true&features=database,docs がある。表の説明はクエリの実行ユーザーを読み取り専用にするというもので、SQL以外のツール（deploy_edge_function など）が無効になるかは表に記載なし。同READMEのAI SDK用ヘルパーの readOnly オプションは「excludes mutating tools」とある。
権限（スコープ）を選べるか あり
MCP: project_ref=<id> で単一プロジェクトに限定（「disables account tools」）。features=<グループ> でツール群を限定（Storage以外は既定で有効）。Management API: スコープ付きPATは「organizations, projects, and permissions you choose when creating it」にだけ届く。OAuth2トークンは短命でスコープに紐づく（https://supabase.com/docs/reference/api/introduction）。MCPは「operates under the context of your developer permissions」と公式に記載。
危険な操作の既定
多くのMCPクライアントはツール呼び出しごとに承認を求める、と公式に記載。破壊的SQLの確認（elicitation）は「a guardrail, not a guarantee of human review」「may not catch every destructive operation」。create_project / create_branch は費用確認が必要で、確認を省いても課金は避けられない。無人の定期処理は書き込みをせず推奨を報告して止まるよう公式が記載。プロジェクトの一時停止（pause_project）の個別確認の記載は未確認。
削除ができるか できる
MCP: delete_branch（ブランチ削除）と、execute_sql 経由のSQL。公式ツール一覧に delete_project はない。CLI: supabase projects delete。API: Delete a project（メソッド・パスは本確認では未取得）。プロジェクトを削除するとS3のバックアップを含め関連データが完全に削除され元に戻せない（https://supabase.com/docs/guides/platform/backups）。一時停止は無料プロジェクトのみで、停止から最大1年は復元できる。有料プランのプロジェクトは一時停止できない（https://supabase.com/docs/guides/platform/project-pausing）。
取り消し方（キー・接続）
シークレットキーは Dashboard の Settings > API Keys で新キーを作って置き換えた後に旧キーを退役（削除は元に戻せない）。旧 anon/service_role キーの無効化は元に戻せる。MCP（OAuth）接続やPATの取り消し手順は、MCPページ（https://supabase.com/docs/guides/getting-started/mcp）に記載なし。未確認。

根拠のページ

つなぎ方（公式の資料にある範囲）

公式MCP あり

公式ホスト型MCPサーバー。公式ページに「Once connected, your AI assistants can interact with and query your Supabase projects on your behalf」とある。ツール群: Database（list_tables, list_extensions, list_migrations, apply_migration, execute_sql）、Debugging（query_logs, get_advisors）、Development（get_project_url, get_publishable_keys, generate_typescript_types）、Edge Functions（list/get/deploy_edge_function, create_edge_function_secret）、Account（list_projects, get_project, create_project, pause_project, restore_project, list_organizations, get_organization, get_cost, confirm_cost）、Docs（search_docs）、Branching（実験的・有料プラン: create/list/delete/merge/reset/rebase_branch）、Storage（既定で無効: list_storage_buckets, get_storage_config, update_storage_config）。 オープンソース版: https://github.com/supabase-community/supabase-mcp は GitHub の supabase 組織配下のリポジトリと読め、About に supabase.com/mcp、READMEに公式のセットアップ手順へのリンクと read_only=true の例がある（archived の表示なし）。

つなぎ方（公式の記載）
公式ページの例: claude mcp add --scope project --transport http supabase "https://mcp.supabase.com/mcp?features=docs%2Caccount%2Cdatabase%2Cdebugging%2Cdevelopment%2Cfunctions%2Cbranching" 。追加後、端末で claude /mcp を実行し supabase を選んで Authenticate（ブラウザ認証）。URLに read_only=true、project_ref=<id>、features=<グループ> を付けて絞る。

根拠のページ

公式CLI あり

Supabase CLI。ローカルでSupabaseスタックを動かす（supabase init / start / stop など）。ホスト側のプロジェクト操作は supabase login（個人アクセストークン）後に supabase projects delete [ref] 等のコマンドがある。CLIはこのトークンでManagement APIを呼ぶ、と公式リファレンスにある。CLIはnpm等の開発依存、またはHomebrew・Scoop・Linuxパッケージで導入。

根拠のページ

公式API あり

Management API（組織・プロジェクトをプログラムから管理）。ベースURL https://api.supabase.com 、OpenAPI仕様 https://api.supabase.com/api/v1-json 。プロジェクト作成は POST /v1/projects。一覧に「Delete a project」「Pause a project」がある。標準のレート制限は1分120リクエスト（ユーザー・プロジェクト/組織・エンドポイント単位）。データ用APIキー（publishable / secret）も別にある。

根拠のページ

第三者製MCP（公式ではない） 2件

  • supabase-mcp-selfhosted（レジストリ名 ai.smithery/MisterSandFR-supabase-mcp-selfhosted）（作者: MisterSandFR（GitHub）・最終更新: 2025-09-18（MCPレジストリの更新日））
    書き込み・削除: あり。READMEにツール54以上とあり、execute_sql, apply_migration, restore_database, drop_index, delete_auth_user, delete_file, upload_file, manage_secrets など書き込み・削除を含む。読み取り専用モードの記載なし。
    GitHub上で2026-02-13にオーナーが archived。作者表記は MisterSandFR と「coupaul」の2つがあり、関係は不明。READMEにSupabaseとの提携の主張なし。
    https://github.com/MisterSandFR/Supabase-MCP-SelfHosted
  • supabase-mcp-lite（レジストリ名 ai.smithery/pinion05-supabase-mcp-lite）（作者: pinion05（GitHub）・最終更新: 2025-09-17（MCPレジストリの更新日））
    書き込み・削除: あり（mutate で insert / update / delete）。READMEのツールは4つ（select, mutate, storage, auth）。生SQLの記載なし。読み取り専用モードの記載なし。
    レジストリ説明は「Same functionality, consuming only 1/20 of the context window tokens.」のみ。READMEに「Personal Access Token gives access to ALL your Supabase projects」「Service role key bypasses Row Level Security」と記載。Supabaseとの提携の主張なし。
    https://github.com/pinion05/supabase-mcp-lite

第三者製のMCPは、サービスの運営元が作ったものではありません。作者と中身を確かめてから使うかどうかを決めてください。ここに載せているのは、公式のレジストリやGitHubで見つかったものを、書かれている範囲でまとめたもので、おすすめではありません。

探した場所（3件）

できる操作

読み取りでできる操作

  • 【MCP】テーブル・拡張・マイグレーション一覧、ログ照会(query_logs)、アドバイザ(get_advisors)、プロジェクトURL・publishableキー取得、ドキュメント検索、型生成
  • 【MCP】execute_sql でSELECT（read_only=true なら「読み取り専用のPostgresユーザーとして」実行）
  • 【API】プロジェクト等の一覧・取得（Management API）

書き込みでできる操作

  • 【MCP】apply_migration、execute_sql（read_only=true の場合は読み取り専用Postgresユーザーとして実行）、Edge Functionのデプロイ(deploy_edge_function)・シークレット作成。read_only=true でSQL以外のツール（deploy_edge_function など）も無効になるかは設定表に記載なし
  • 【MCP】create_project（費用確認あり）、Branching の create/merge/reset/rebase、Storage設定の更新（Storageは既定で無効）
  • 【API】POST /v1/projects でプロジェクト作成。マイグレーション用エンドポイント（POST /v1/projects/:ref/database/migrations）あり

管理者操作（削除・課金・設定変更など）

  • 【MCP】pause_project（一時停止）、restore_project。公式一覧に project の削除ツールは載っていない。delete_branch（ブランチ削除）あり。一時停止できるのは無料プロジェクトのみ（有料プランのプロジェクトは一時停止できない）と project-pausing ページにある
  • 【MCP】アカウント系ツール（create_project, pause_project 等）は project_ref で絞ると使えない（project-scoped では無効）
  • 【CLI】supabase projects delete [ref]（プロジェクト削除）。確認プロンプトの有無は公式ページに記載なし
  • 【API】公式APIの一覧に「Delete a project」「Pause a project」がある（メソッド・パスは取得ページに無し）

制限

  • Branching は実験的で有料プラン向け（公式MCPページ）
  • Storageツール群は既定で無効
  • Management API は標準で1分120リクエスト、分析系は1分30、database/context は1分10
  • 無料プロジェクトは1週間無操作で一時停止（料金ページ）
  • 日次バックアップの保持: Pro 7日、Team 14日、Enterprise 最大30日。Freeの保持期間は記載なし（バックアップページ）
  • 一時停止できるのは無料プロジェクトのみ（有料プランは不可、自動停止も対象外）。一時停止から最大1年は復元できる（Project Pausing ページ）
注意
  • 公式は『本番プロジェクトには機微データが入り得る』として、プロジェクト限定・read_only・機能グループ制限を先に行うよう記載している。
  • 公式はプロンプトインジェクション（サポートチケット等の文面で意図しないクエリを実行させる）を主な攻撃経路として挙げ、手動承認を維持するよう記載している。
  • execute_sql / apply_migration / deploy_edge_function / create_project / pause_project / delete_branch は公式ページで破壊的と区別されているツール。
  • create_project と create_branch は課金が発生し得る。費用確認を省いても課金は避けられない、と公式に記載。
  • プロジェクト削除は取り消せない（バックアップも消える）と公式に記載。pause_project は restore_project で戻す操作が別にあり、Project Pausing ページに一時停止から最大1年は復元できるとある。有料プランのプロジェクトは一時停止できないため、MCPの pause_project が使えるのは無料プロジェクトに限られると読める。
  • read_only=true は設定表で「Execute all queries as a read-only Postgres user」と説明されている。SQL以外のツールまで止まるかは記載なしのため、書き込みが全部止まるとは言えない。

認証・料金・日本語・実機検証

認証方式
【MCP】ブラウザでのサインイン（動的クライアント登録）。個人アクセストークン(PAT)は不要と公式に記載。CI向けにはスコープ付きPATをAuthorizationヘッダーで渡せる。【CLI】supabase login（PAT）または環境変数 SUPABASE_ACCESS_TOKEN。【API】Bearerトークン（PATまたはOAuth2）。
公表されている料金（2026年10月16日確認）
公表価格（USD表記、2026-10-16確認）: Free $0/月（アクティブプロジェクト2つまで、1週間無操作で一時停止）、Pro 月$25〜（1プロジェクト込み、追加プロジェクトは$10〜）、Team 月$599〜、Enterprise は要問い合わせ。スペンドキャップはPro プランで既定オン（オフにできる）と記載。 料金ページ
日本語対応
未確認。https://supabase.com/ja の取得に失敗。公式ドキュメント・管理画面の日本語有無は確かめられていない。
Claude Code実機検証
未検証（この台帳は、動かして確かめた記録ではありません。Akiraが試したときは、検証日つきで書き換えます）
確認できていない点（6件）
  • 日本語対応（ドキュメント・管理画面）: https://supabase.com/ja の取得に失敗し未確認
  • pause_project 個別の確認プロンプトの有無（記載なし）
  • supabase projects delete の確認プロンプト有無（公式ページに説明なし）。Management APIの削除・一時停止のメソッドとパス
  • MCP（OAuth）連携やPATの取り消し方法、PATの権限（スコープ）の一覧ページ（Personal access tokens guide は未読）
  • 第三者製MCPの探索はMCPレジストリ検索のみ（GitHub検索は未実施）。レジストリ掲載の2件はREADMEを確認済み（上記）
  • CLIのうち login / link / db push / db reset / branches の公式説明（取得したページには記載なし）
出典（9件）

この台帳は、公式の資料を読んだ範囲のことで、動かして確かめたものではありません。確認日: 2026年10月16日。

ラボの資料は、公式の文書を読んでまとめたもので、実際に使って確かめた記録ではありません。日付や仕様は変わるので、使う前に各ページの出典で確かめてください。事実と「僕らの見立て」は、分けて書いています。