2026-10-26: 7 API-Beschwerden, die wir heute gehört haben

Beschwerden, die englischsprachige Entwickler zwischen dem 24. und 26. Oktober 2026 öffentlich gepostet haben, hier zusammengefasst mit Links zu den Originalbeiträgen. Jede Antwort verwendet nur das, was die öffentliche Website und die Dokumentation von PoYo heute sagen, und verlinkt die jeweilige Seite. Wo die Dokumentation etwas nicht abdeckt, sagen wir das.

---

Q1. Wieder ein SaaS gehackt — und meine KI-API-Schlüssel waren dabei.

Was Entwickler beanstanden: Ein bekannter SaaS-Vorfall ließ KI-API-Schlüssel massenhaft leaken und für betrügerischen Traffic nutzen. Getrennt davon meldeten Leute ein OpenAI-API-Schlüssel-Leak im Zusammenhang mit Railway, und ein Entwickler erhielt eine OpenAI-Mail über einen geleakten Schlüssel, der nicht einmal seiner war. Fehler im Frontend verschärfen das: Offene API-Schlüssel im Browser bleiben ein häufiger Mangel.

Wie PoYo antwortet: Rotieren Sie zuerst. Ein geleaktes Geheimnis bleibt ein geleaktes Geheimnis. Danach nennt die Dokumentation Kontrollen, die begrenzen, was ein gestohlener PoYo-Schlüssel tun kann:

• IP-Whitelist. Lassen Sie auf einem Schlüssel nur freigegebene Server-IPs zu. Ein aus einer Umgebungsvariable kopierter Schlüssel funktioniert dann nicht vom Rechner des Angreifers. Siehe die API-Schlüssel-Seite und Erste Schritte.
• Nutzungsgrenzen je Schlüssel (stündlich, täglich und gesamt), damit ein Schlüssel eine harte Decke hat, bevor Sie es bemerken.
• Sperre je Endnutzer. Senden Sie den Header X-End-User-ID, und Sie können einen missbräuchlichen Aufrufer auf einem Schlüssel sperren, ohne den Schlüssel zu rotieren. Eine gesperrte ID liefert HTTP 403 mit end_user_blocked. Siehe Endnutzer-Identifikation.

Die öffentliche Dokumentation verspricht keine Erstattung für Nutzung mit einem geleakten Schlüssel. Wenn Sie meinen, ein PoYo-Schlüssel sei missbraucht worden, widerrufen Sie ihn und schreiben Sie an den Support ([email protected]).

---

Q2. Wenn mein Modellanbieter die App ausliefert, mit der ich konkurriere, gibt zuerst das Rate-Limit nach.

Was Entwickler beanstanden: Ein Entwickler formulierte es direkt: Wenn Ihr API-Anbieter auch das Produkt ausliefert, mit dem Sie konkurrieren, gibt zuerst das Rate-Limit nach. Threads auf Reddit stellen weiter dieselbe operative Frage: wie Leute mit den Rate-Limits der Claude-API in der Produktion umgehen und welche Ansätze bei Rate-Limits von KI-Anbietern funktionieren.

Wie PoYo antwortet: Unsere Seite Fehlercodes gibt jedem Status eine Bedeutung und eine empfohlene Aktion:

Erste Schritte veröffentlicht das Standardlimit für die Generierung: bis zu 20 neue Generierungsanfragen pro 10 Sekunden und Konto. Anfragen darüber erhalten HTTP 429 und kommen nicht in die Warteschlange. Chat- und Medienmodelle teilen einen PoYo-Schlüssel und stehen in llms.txt. Der Modellwechsel ist eine Änderung der Zeichenkette model, kein neues Anbieter-Onboarding. Wenn Sie dauerhaft 429 erhalten, dürfen Sie laut Dokumentation den Support um ein höheres Limit bitten. Genehmigungen werden vorsichtig behandelt.

Die Dokumentation beschreibt kein automatisches Failover zwischen Anbietern. Bauen Sie den Fallback in den Client. Erste Schritte sagt außerdem, die „Gesamtstabilität von PoYo kann etwas niedriger sein als bei den offiziellen Anbietern“.

---

Q3. Mein „429“ war eigentlich eine Ausgabengrenze. Abrechnungsfehler im Kleid eines Rate-Limits.

Was Entwickler beanstanden: Harte Ausgabengrenzen bei OpenAI können als 429 mit project_spend_limit_exceeded / organization_spend_limit_exceeded erscheinen. Teams behandeln dann einen Abrechnungsstopp wie eine Drosselung. Bei Video-APIs notierte ein Entwickler, 402 bedeute nicht genug Kontingent, um die Gebühr zu reservieren, während 409 der Idempotenzfall sei. Eine andere Erinnerung war praktisch: Setzen Sie eine Ausgabengrenze, damit eine Schleife oder ein Fremder mit curl Sie auf dieselbe Weise belastet.

Wie PoYo antwortet: PoYo trennt die beiden Fälle klar in der Tabelle der Fehlercodes:

Die Abrechnung selbst sind Prepaid-Credits. Die Startseite sagt: Einmalkäufe ohne wiederkehrende Abonnements, und Credits verfallen nie. Fragen Sie GET /api/user/balance nach credits_amount ab, wenn Sie eine aktuelle Zahl brauchen (Nutzerguthaben).

---

Q4. Ich sehe nicht, welches Modell das Budget über OpenAI, Anthropic und OpenRouter verbraucht hat.

Was Entwickler beanstanden: Ein Entwickler fragte, ob sich ein Ausgabensprung bei OpenRouter je Modell aufschlüsseln lässt. Andere verwiesen auf Werkzeuge wie View Spend für OpenAI / Anthropic / xAI. Unternehmensgerüchte erinnerten daran, dass Replit über 100 Mio. $ KI-Ausgaben für einen Rabatt von Anthropic zu OpenAI verschoben habe. Andere Anbieter, andere Rechnungen, dieselbe blinde Stelle.

Wie PoYo antwortet: Drei dokumentierte Punkte passen zu dieser Beschwerde:

1. Ein Schlüssel, ein Guthaben. Chat und Medien teilen ein PoYo-Konto. Fragen Sie GET /api/user/balance nach credits_amount ab (Nutzerguthaben).
2. Stündliche, tägliche und Gesamtgrenzen je Schlüssel auf der API-Schlüssel-Seite, damit ein Agent oder eine Umgebung nicht das ganze Konto leeren kann (Erste Schritte).
3. Aufgabenverlauf und veröffentlichte Preise. Prüfen Sie Modell, Eingaben und Status auf der in Erste Schritte beschriebenen Fläche Aufgabenverlauf. Vergleichen Sie Chat- und Medienpreise auf der Preisseite und lesen Sie aktuelle Preise je Modell aus llms.txt oder aus der llms.txt jedes Modells.

---

Q5. Meine „Server-Funktion“ kann jeder aufrufen — und der Schlüssel liegt dort, wo curl ihn findet.

Was Entwickler beanstanden: Derselbe Beitrag zu Ausgabengrenzen warnte auch, dass eine von jedem aufrufbare Server-Funktion ein Rate-Limit je Nutzer und eine Ausgabengrenze braucht. Ein anderer Beitrag war direkt: Legen Sie keinen OpenAI-Schlüssel in Browser-Chat-Vorlagen. Und der Klassiker gilt weiter: kein .env auf GitHub.

Wie PoYo antwortet: Erste Schritte ist eindeutig: Legen Sie Ihren API-Schlüssel nie in Frontend-Code offen (Browser, mobile Apps, öffentliche Repositories). Behandeln Sie den Schlüssel als Geheimnis, halten Sie ihn auf Ihrem Server und nutzen Sie die bereits dokumentierten Kontrollen für Produktionsschlüssel:

• IP-Whitelist und stündliche / tägliche / Gesamtgrenzen je Schlüssel auf der API-Schlüssel-Seite.
• X-End-User-ID verlangen und einen missbräuchlichen Aufrufer mit HTTP 403 end_user_blocked sperren, ohne den ganzen Schlüssel zu rotieren (Endnutzer-Identifikation).

---

Q6. Video-APIs verbrennen Credits sekundenweise — und die Nutzungsoberfläche sieht weiter nach Tokens aus.

Was Entwickler beanstanden: Die Videoabrechnung verwirrt weiter Leute, die mit Token-Zählern groß geworden sind. Ältere, aber weiter zitierte Threads behandeln API-Nutzungsoberflächen, die nicht zur Videoabrechnung passen und Updates der Sora-API-Erweiterung mit unklarer Neuberechnung. Das Thema ist aktuell: Video liefert 402, wenn das Kontingent nicht reicht, um die Gebühr zu reservieren.

Wie PoYo antwortet: Sora 2 Official und verwandte Videomodelle stehen über llms.txt und die Seite KI-Video-API im Katalog von PoYo. Abrechnungsregeln, die die öffentlichen Seiten tatsächlich nennen:

• Credits je erfolgreicher Ausgabe, Preis je Modell (llms.txt).
• Fehlgeschlagene Aufgaben werden nicht berechnet (Startseite und llms.txt).
• Aktuelle Preise stehen auf jeder Modellseite und unter https://poyo.ai/de/models/<model-id>/llms.txt. Prüfen Sie sie, bevor Sie kostenpflichtige Arbeit einreichen. Leiten Sie Beträge nicht aus dem Gedächtnis ab.
• Die Generierung ist asynchron: POST /api/generate/submit, danach Status abfragen oder callback_url setzen (Erste Schritte). Reichen die Credits nicht, erhalten Sie 402 insufficient_credits_error (Fehlercodes).

---

Q7. Jeder, der Bots baut, lernt: Die API ist der eigentliche Product Manager. Rate-Limits schreiben die Roadmap.

Was Entwickler beanstanden: Ein Beitrag fasste es so: Jeder, der Bots baut, lernt, dass die API der eigentliche Product Manager ist; das Rate-Limit schreibt die Roadmap. Startups mit Agenten hoffen, dass die API mitten in der Demo nicht drosselt. Andere suchen offen nach Failover bei 429 / 5xx.

Wie PoYo antwortet: Die Generierung bei PoYo ist asynchron angelegt, damit lange Aufträge nicht an einem einzelnen Gateway-Timeout hängen. Erste Schritte und der API-Überblick sagen: Aufgabe einreichen, die task_id speichern, dann den Status abfragen oder einen Webhook empfangen. Für Produktionslasten bevorzugt die Dokumentation signierte Webhooks gegenüber häufigem Abfragen. Bei 429 warten oder in die Warteschlange stellen (Fehlercodes). Das Standardlimit bleibt 20 neue Anfragen / 10 s je Konto. Darüber liegende Anfragen werden abgelehnt und nicht eingereiht. Bild, Video, Musik, Chat und 3D liegen hinter einem einheitlichen API-Schlüssel (llms.txt, Startseite). Wenn Sie höhere Limits brauchen, kontaktieren Sie den Support. Genehmigungen werden vorsichtig behandelt.

Die Dokumentation beschreibt kein automatisches Failover zwischen Anbietern. Ihr Client muss 429 / 5xx behandeln und das nächste Modell oder den Wiederholungspfad wählen.

---

Kurzüberblick