Supabase Row Level Security (RLS): guía para aplicaciones SaaS

En el desarrollo de software moderno, una de las mayores preocupaciones es evitar el Data Leakage (Fuga de datos). Imagina que tienes una aplicación SaaS en Colombia usada por tres empresas de logística diferentes; si un usuario de la Empresa A logra interceptar los envíos de la Empresa B, tu negocio está muerto. Aquí es donde entra Supabase RLS.

¿Qué es RLS en PostgreSQL?

Row Level Security te permite definir políticas de acceso directamente en la base de datos, en lugar de hacerlo en la capa de aplicación (Backend). Esto significa que no importa si tu API Node.js o tu cliente React hace una consulta mal estructurada; la base de datos filtrará las filas de manera implícita.

El Patrón Multi-Tenant

En Nexora Digital aplicamos el siguiente patrón en la base de datos:

1. Todas las tablas clave (ej. orders, clients) deben tener una columna tenant_id.
2. El JWT (JSON Web Token) del usuario autenticado debe inyectar de manera segura a qué tenant_id pertenece.
3. La política RLS de Supabase comprueba que auth.jwt() ->> 'tenant_id' = tenant_id.

Protección desde la raíz

Con RLS activado de manera restrictiva por defecto (`ALTER TABLE tabla ENABLE ROW LEVEL SECURITY;`), aseguramos que los datos estén completamente asilados. Esto no solo nos ayuda a pasar auditorías de seguridad, sino que previene el estrés de inyecciones de datos entre usuarios.