Quejas que desarrolladores de habla inglesa publicaron entre el 24 y el 26 de octubre de 2026, resumidas aquí con enlaces a las publicaciones originales. Cada respuesta usa solo lo que el sitio público y la documentación de PoYo dicen hoy, y enlaza la página de la que sale. Cuando la documentación no cubre algo, lo decimos.
Q1. Otro SaaS fue pirateado, y mis claves de API de IA se fueron con él.
De qué se quejan los desarrolladores: Un incidente conocido de SaaS dejó claves de API de IA filtradas en masa y usadas para tráfico fraudulento. Por separado, hubo un informe de una filtración de clave de la API de OpenAI ligada a Railway, y un desarrollador recibió un correo de OpenAI sobre una clave filtrada que ni siquiera era suya. Los errores de frontend lo empeoran: las claves de API expuestas en el navegador siguen siendo un fallo habitual.
Cómo responde PoYo: Rote primero. Un secreto filtrado sigue siendo un secreto filtrado. Después, la documentación enumera controles que limitan lo que puede hacer una clave de PoYo robada:
- Lista de IP permitidas. Permita solo las IP de servidor aprobadas en una clave. Una clave copiada de una variable de entorno no funciona desde la máquina del atacante. Vea la página de claves de API y Primeros pasos.
- Topes de uso por clave (por hora, por día y totales), para que una clave tenga un techo firme antes de que usted lo note.
- Bloqueo por usuario final. Envíe el encabezado
X-End-User-IDy puede bloquear a un llamante abusivo en una clave sin rotarla. Un ID bloqueado devuelve HTTP 403 conend_user_blocked. Vea Identificación del usuario final.
La documentación pública no promete reembolso por el uso hecho con una clave filtrada. Si cree que una clave de PoYo se usó de forma indebida, revóquela y escriba al soporte ([email protected]).
Q2. Cuando mi proveedor de modelos lanza la app con la que compito, lo primero que cede es mi límite de tasa.
De qué se quejan los desarrolladores: Un desarrollador lo dijo sin rodeos: si su proveedor de API también lanza el producto con el que usted compite, lo primero que cede es el límite de tasa. Los hilos de Reddit siguen con la misma pregunta operativa: cómo trata la gente los límites de tasa de la API de Claude en producción y qué enfoques funcionan para los límites de tasa de los proveedores de IA.
Cómo responde PoYo: Nuestra página de códigos de error da a cada estado un significado y una acción recomendada:
| Código | error.type | Qué dice la documentación |
|---|---|---|
| 402 | insufficient_credits_error | Recargue. Reintentar no sirve. |
| 429 | rate_limit_error | Espere antes de reintentar, o ponga las solicitudes en cola. |
| 500 / 502 / 503 | internal_error / upstream_error / service_error | Reintente con retroceso exponencial. |
Primeros pasos publica el límite predeterminado de generación: hasta 20 solicitudes de generación nuevas cada 10 segundos, por cuenta. Las solicitudes por encima reciben HTTP 429 y no entran en la cola. Los modelos de chat y de medios comparten una clave de PoYo y están en llms.txt. Cambiar de modelo es cambiar la cadena model, no incorporar un proveedor nuevo. Si los 429 son constantes, la documentación dice que puede escribir al soporte para pedir un límite mayor. Las aprobaciones se tratan con cautela.
La documentación no describe una conmutación automática entre proveedores. Construya el respaldo en el cliente. Primeros pasos también dice que la «estabilidad general de PoYo puede ser algo menor que la de los proveedores oficiales».
Q3. Mi «429» era en realidad un tope de gasto. Errores de facturación con ropa de límite de tasa.
De qué se quejan los desarrolladores: Los topes duros de gasto de OpenAI pueden aparecer como 429 con project_spend_limit_exceeded / organization_spend_limit_exceeded, así que los equipos tratan una parada de facturación como una limitación. En las API de vídeo, un desarrollador anotó que 402 significa que no hay cuota suficiente para reservar el cargo, mientras que 409 es el caso de idempotencia. Otro aviso fue práctico: ponga un tope de gasto, para que un bucle o un desconocido con curl le facturen igual.
Cómo responde PoYo: PoYo separa los dos casos con claridad en la tabla de códigos de error:
| Código | error.type | Significado |
|---|---|---|
| 402 | insufficient_credits_error | El saldo se acabó. Recargue. Reintentar no sirve. |
| 429 | rate_limit_error | Alcanzó un límite de tasa. Espere o ponga en cola. |
La facturación en sí son créditos de prepago. La página de inicio dice: compras únicas, sin suscripciones recurrentes, y los créditos no caducan. Consulte GET /api/user/balance para leer credits_amount cuando necesite una cifra al día (saldo del usuario).
Q4. No veo qué modelo se comió el presupuesto entre OpenAI, Anthropic y OpenRouter.
De qué se quejan los desarrolladores: Un desarrollador preguntó si un pico de gasto en OpenRouter se desglosa por modelo. Otros señalaron herramientas como View Spend para OpenAI / Anthropic / xAI. Los rumores de empresa recordaron que Replit movió más de 100 millones de dólares de gasto en IA de Anthropic a OpenAI por un descuento. Proveedores distintos, facturas distintas, el mismo punto ciego.
Cómo responde PoYo: Tres piezas documentadas encajan con esta queja:
- Una clave, un saldo. El chat y los medios comparten una cuenta de PoYo. Consulte
GET /api/user/balancepara leercredits_amount(saldo del usuario). - Topes por hora, por día y totales en cada clave, en la página de claves de API, para que un agente o un entorno no vacíe toda la cuenta (Primeros pasos).
- Historial de tareas y precios publicados. Revise el modelo, las entradas y el estado en la superficie de historial de tareas que describe Primeros pasos. Compare precios de chat y de medios en la página de precios, y lea los precios actuales por modelo en llms.txt o en el
llms.txtde cada modelo.
Q5. Mi «función de servidor» la puede llamar cualquiera, y la clave está donde curl la encuentra.
De qué se quejan los desarrolladores: La misma publicación sobre topes de gasto advirtió que una función de servidor que cualquiera puede llamar necesita un límite de tasa por usuario y un tope de gasto. Otra fue directa: no ponga una clave de OpenAI en plantillas de chat del navegador. Y el clásico sigue en pie: nada de .env en GitHub.
Cómo responde PoYo: Primeros pasos es explícito: no exponga nunca su clave de API en código de frontend (navegador, apps móviles, repositorios públicos). Trate la clave como un secreto, déjela en su servidor y use los controles ya documentados para claves de producción:
- Lista de IP permitidas y topes por hora / por día / totales en cada clave, en la página de claves de API.
- Exija
X-End-User-IDy bloquee a un llamante abusivo con HTTP 403end_user_blocked, sin rotar toda la clave (Identificación del usuario final).
Q6. Las API de vídeo queman créditos por segundo, y la interfaz de uso sigue pareciendo de tokens.
De qué se quejan los desarrolladores: La facturación de vídeo sigue confundiendo a quien creció con medidores de tokens. Hilos antiguos, pero aún citados, cubren interfaces de uso de API que no coinciden con cómo se factura el vídeo y actualizaciones de la extensión de la API de Sora con una refacturación confusa. El tema sigue vigente: el vídeo devuelve 402 cuando no hay cuota suficiente para reservar el cargo.
Cómo responde PoYo: Sora 2 Official y los modelos de vídeo relacionados están en el catálogo de PoYo a través de llms.txt y la página de la API de vídeo con IA. Reglas de facturación que las páginas públicas sí enuncian:
- Créditos por salida correcta, con precio por modelo (llms.txt).
- Las tareas fallidas no se cobran (página de inicio y llms.txt).
- Los precios actuales están en cada página de modelo y en
https://poyo.ai/es/models/<model-id>/llms.txt. Compruébelos antes de enviar trabajo de pago. No deduzca importes de memoria. - La generación es asíncrona:
POST /api/generate/submit, luego consulte el estado o definacallback_url(Primeros pasos). Si los créditos no alcanzan, recibe 402insufficient_credits_error(códigos de error).
Q7. Quien construye bots aprende que la API es el verdadero jefe de producto. Los límites de tasa escriben la hoja de ruta.
De qué se quejan los desarrolladores: Una publicación lo resumió: quien construye bots aprende que la API es el verdadero jefe de producto; el límite de tasa escribe la hoja de ruta. Las startups de agentes siguen esperando que la API no limite la tasa a mitad de la demo. Otros buscan abiertamente conmutación ante 429 / 5xx.
Cómo responde PoYo: La generación en PoYo está diseñada para ser asíncrona, así que los trabajos largos no quedan atados a un solo tiempo de espera del gateway. Primeros pasos y la descripción general de la API dicen: envíe una tarea, guarde el task_id y luego consulte el estado o reciba un webhook. Para cargas de producción, la documentación prefiere webhooks firmados a las consultas frecuentes. Ante un 429, espere o ponga en cola (códigos de error). El límite predeterminado sigue siendo 20 solicitudes nuevas / 10 s por cuenta; el exceso se rechaza y no entra en la cola. Imagen, vídeo, música, chat y 3D están detrás de una clave de API unificada (llms.txt, página de inicio). Si necesita límites mayores, contacte al soporte. Las aprobaciones se tratan con cautela.
La documentación no describe una conmutación automática entre proveedores. Su cliente debe tratar 429 / 5xx y elegir el siguiente modelo o la ruta de reintento.
Mapa rápido
| Queja | Dónde lo documenta PoYo |
|---|---|
| Filtración masiva en SaaS / claves de IA | Página de claves de API · Primeros pasos · X-End-User-ID |
| Competir con el proveedor, el límite cede primero | Códigos de error · Primeros pasos: límites de tasa · llms.txt |
| Topes de gasto disfrazados de 429 | Códigos de error: 402 frente a 429 · Inicio: créditos · API de saldo |
| No se ve qué modelo se comió el presupuesto | API de saldo · Topes de clave de API · Precios · llms.txt |
| Claves en funciones de servidor / interfaces de chat | Primeros pasos: no exponer la clave · Página de claves de API · X-End-User-ID |
| El vídeo quema créditos / facturación opaca | API de vídeo con IA · Sora 2 Official · llms.txt: lo fallido no se cobra · Códigos de error: 402 |
| Bucles de agentes / límites de tasa como PM | Primeros pasos: asíncrono y 429 · Descripción general de la API · Códigos de error |