2026-10-27: 7 quejas sobre APIs que escuchamos hoy

Quejas que desarrolladores de habla inglesa publicaron entre el 25 y el 27 de octubre de 2026, resumidas aquí con enlaces a las publicaciones originales. Cada respuesta usa solo lo que el sitio público y la documentación de PoYo dicen hoy, y enlaza la página de la que sale. Cuando la documentación no cubre algo, lo decimos.

---

Q1. El modelo rápido nuevo es tan rápido que se responde 429 a sí mismo, sobre todo con el razonamiento al máximo y sesiones paralelas de Codex.

De qué se quejan los desarrolladores: GPT-6.1 Terra salió como un nivel de computer-use más rápido y más barato. Enseguida, quienes lo construyen recibieron HTTP 429 en Terra / fast-mode y con el razonamiento al máximo, mientras que el mismo prompt en Sol no. Varias publicaciones anotaron cero tokens usados en un 429. Eso significa que una compuerta de concurrencia o de tasa se disparó antes de la medición. Las sesiones paralelas de Codex que consultaban la misma clave lo empeoraron.

Cómo responde PoYo: Nuestra página de códigos de error da a 429 un significado — rate_limit_error — y una acción recomendada: esperar antes de reintentar, o poner las solicitudes en cola. Primeros pasos publica el límite de generación predeterminado: hasta 20 solicitudes de generación nuevas por 10 segundos, por cuenta. Las solicitudes por encima de ese límite reciben HTTP 429 y no entran en la cola. Los modelos de chat y de medios comparten una clave de PoYo y están en llms.txt, así que cambiar de modelo es cambiar la cadena model, no incorporar a otro proveedor. Si recibe 429 de forma continua, la documentación dice que puede contactar al soporte para un límite mayor. Las aprobaciones se tratan con cautela.

La documentación indica que no hay conmutación automática entre proveedores. Construya el respaldo en su cliente. Primeros pasos también dice que la «estabilidad general de PoYo puede ser algo menor que la de los proveedores oficiales».

---

Q2. Mi «429» era en realidad un tope de gasto: errores de facturación con ropa de límite de tasa.

De qué se quejan los desarrolladores: Una publicación lo resumió: HTTP 429 no es un solo modo de fallo. En Anthropic puede ser un límite de tasa, un límite de aceleración o un tope de gasto. Un 429 por tope de gasto a menudo no trae Retry-After, así que esperar indefinidamente no hace nada. Los equipos siguen tratando una parada dura de facturación como una limitación.

Cómo responde PoYo: PoYo separa los dos casos con claridad en la tabla de códigos de error:

La facturación en sí son créditos de prepago. La página de inicio dice compras únicas, sin suscripciones recurrentes, y los créditos no caducan. Consulte GET /api/user/balance para leer credits_amount cuando necesite una cifra al día (saldo del usuario). La nota de los códigos de error es explícita: vigile los créditos para evitar 402 durante el trabajo crítico.

---

Q3. Mi SDK de agentes está quemando la ventana de límite de tasa unas 1,7× más rápido que el chat, y N agentes siguen compartiendo un tope.

De qué se quejan los desarrolladores: Anthropic reconoció un fallo en el Agents SDK que consumía los límites de tasa de 5 horas de Claude aproximadamente 1,7× más rápido de lo esperado al pasar del chat al modo agente. Por separado, quienes construyen señalaron que los worktrees arreglan los choques de archivos, pero diez agentes siguen compartiendo una base de datos y un límite de tasa de API. Los arneses en paralelo se tropiezan entre sí en la misma clave.

Cómo responde PoYo: La generación en PoYo está diseñada para ser asíncrona, así que los trabajos largos no quedan atados a un solo tiempo de espera del gateway. Primeros pasos y la descripción general de la API dicen: envíe una tarea, guarde el task_id y luego consulte el estado o reciba un webhook. Para cargas de producción, la documentación prefiere webhooks firmados a las consultas frecuentes. Ante un 429, espere o ponga en cola (códigos de error). El límite predeterminado sigue siendo 20 solicitudes nuevas / 10 s por cuenta. El exceso se rechaza y no entra en la cola.

Para que un agente desbocado no vacíe toda la cuenta, use los controles documentados en la página de claves de API y en Primeros pasos: topes de uso por clave, por hora, por día y totales. Imagen, vídeo, música, chat y 3D están detrás de una clave de API unificada (llms.txt, página de inicio).

La documentación indica que no hay conmutación automática entre proveedores. Su cliente debe tratar 429 / 5xx y elegir el siguiente modelo o la ruta de reintento.

---

Q4. Otro SaaS se quedó con mis claves de IA, y el proveedor dijo que el gasto no autorizado no se reembolsa.

De qué se quejan los desarrolladores: Un desarrollador informó de una clave de la API de Anthropic comprometida que acumuló 105,94 USD de uso no autorizado. El soporte (a través de un agente de IA) dijo que el uso ya consumido no se reembolsa y cerró la escalada. En la misma ventana de 48 horas volvieron a aparecer incidentes al estilo de OpenCode Console / Railway, en los que el premio eran claves guardadas de OpenAI, Anthropic y Google. Primero rote, luego ponga un techo duro de gasto.

Cómo responde PoYo: Rote primero. Un secreto filtrado sigue siendo un secreto filtrado. Después, la documentación enumera controles que limitan lo que puede hacer una clave de PoYo robada:

• Lista de IP permitidas. Permita solo las IP de servidor aprobadas en una clave, de modo que una clave copiada de una variable de entorno no funcione en la máquina del atacante. Vea la página de claves de API y Primeros pasos.
• Topes de uso por clave (por hora, por día y totales), para que una clave tenga un techo duro antes de que usted lo note.
• Bloqueo por usuario final. Envíe el encabezado X-End-User-ID y puede bloquear a un llamante abusivo en una clave sin rotarla. Un ID bloqueado devuelve HTTP 403 con end_user_blocked. Vea Identificación del usuario final.

Nuestros documentos públicos no prometen reembolsos por el uso hecho con una clave filtrada. Si cree que una clave de PoYo se usó de forma indebida, revóquela y contacte al soporte ([email protected]).

---

Q5. Un cliente de IA debería saber cuándo no reintentar, y los reintentos de vídeo pueden duplicar la factura en silencio.

De qué se quejan los desarrolladores: Los reintentos ayudan ante fallos temporales, pero no son universales. Si una solicitud está mal formada, una credencial no es válida o un modelo no está disponible para la cuenta, repetir la misma llamada solo añade presión. En las API de vídeo, el mismo tema aparece así: pulse reintentar y puede crear una segunda tarea facturada.

Cómo responde PoYo: Haga coincidir el error con la acción en los códigos de error:

• 402 insufficient_credits_error → recargue. No reintente.
• 429 rate_limit_error → espere o ponga en cola.
• 500 / 502 / 503 → retroceso exponencial.
• 401 → corrija la clave. Reintentar la misma credencial inválida no ayuda (Primeros pasos).

Primeros pasos también advierte: trate cada reintento de envío como posible trabajo de pago nuevo. Antes de volver a enviar, confirme si la solicitud original creó una tarea. Para medios, llms.txt y la página de inicio indican que las tareas fallidas no se cobran y que la facturación es por salida correcta, con precio por modelo. Prefiera callback_url / webhooks a un sondeo agresivo del estado, para no multiplicar la carga mientras espera (descripción general de la API).

---

Q6. El precio de la API sigue pareciendo desmesurado al lado de la suscripción, y no veo el saldo en vivo antes de que el agente lo queme.

De qué se quejan los desarrolladores: Una respuesta lo dijo sin rodeos: las suscripciones se sienten subvencionadas, pero el precio de API de OpenAI y Anthropic es «desmesurado». Otras publicaciones de la misma ventana preguntaban si la gente sabe siquiera lo que cuesta un solo prompt multiagente a tarifas de API, y recordaban que los medidores de la suscripción de ChatGPT / Codex y los de la API no se hablan.

Cómo responde PoYo: Tres piezas documentadas encajan con esta queja:

1. Créditos de prepago, sin medidor de suscripción. La página de inicio describe precios por créditos, con compras únicas, sin suscripciones recurrentes y con créditos que no caducan. Usted paga las generaciones correctas. Las tareas fallidas no se cobran (llms.txt).
2. Una clave, un saldo. El chat y los medios comparten una cuenta de PoYo. Consulte GET /api/user/balance para leer credits_amount (saldo del usuario).
3. Precios publicados por modelo. Los precios actuales están en cada página de modelo / https://poyo.ai/models/<id>/llms.txt y en el índice del catálogo (llms.txt). Consúltelos antes de enviar trabajo de pago. No infiera importes en dólares de memoria. El historial de tareas (descrito en Primeros pasos) permite revisar modelo, entradas y estado después.

---

Q7. Mi «función de servidor» / bot de Telegram lo puede llamar cualquiera, y la clave vive donde curl puede encontrarla.

De qué se quejan los desarrolladores: Siguieron llegando publicaciones prácticas de seguridad: restrinja las claves de API y ponga una cuota diaria. No pegue claves de proveedor en interfaces de chat ni en agentes de Telegram. Una clave dentro de una función de servidor que cualquiera puede llamar, sin límite de tasa por usuario y sin techo de gasto, es una tarjeta de crédito para quien encuentre la URL.

Cómo responde PoYo: Primeros pasos es explícito: no exponga nunca su clave de API en código de frontend (navegador, aplicaciones móviles, repositorios públicos). Trate la clave como un secreto, déjela en su servidor y use los controles ya documentados para claves de producción:

• Lista de IP permitidas y topes por clave, por hora / por día / totales, en la página de claves de API.
• Exija X-End-User-ID y bloquee a un llamante abusivo con HTTP 403 end_user_blocked, sin rotar toda la clave (Identificación del usuario final).
• Trate 401, 402 y 429 de forma explícita antes de pasar a producción (Primeros pasos, códigos de error).

---

Mapa rápido