2026-10-22 : 7 plaintes sur les API entendues aujourd’hui

Plaintes publiées ouvertement par des développeurs anglophones entre le 20 et le 22 octobre 2026, résumées ici avec les liens vers les messages d’origine. Chaque réponse n’utilise que ce que le site public et la documentation de PoYo disent aujourd’hui, et renvoie vers la page concernée. Lorsque la documentation ne couvre pas un point, nous le disons.

---

Q1. Mes clés d’IA étaient dans les variables d’environnement de l’hébergeur, et quelqu’un les a vidées pendant la nuit.

Ce que les développeurs reprochent : Railway a indiqué le 21 octobre qu’une partie non autorisée a pu lire des variables d’environnement déchiffrées, et a demandé à chaque utilisateur de faire tourner les clés qui y étaient stockées. En quelques heures, un développeur a écrit que quelqu’un avait dépensé 500 $ sur sa clé OpenAI, un autre que son solde OpenAI avait été entièrement utilisé, et un troisième qu’Anthropic lui avait écrit pour dire que les clés stockées chez Railway avaient été désactivées. Le même soir, un compte de sécurité a signalé que LiteLLM 1.107.0 avait été brièvement livré avec un voleur d’identifiants. Le fil Hacker News reposait la même question : si une clé fuit, qui paie la facture ?

Comment PoYo répond : Un secret divulgué reste un secret divulgué. Faites-le tourner d’abord. La documentation indique des contrôles qui limitent ce qu’une clé PoYo volée peut faire :

• Liste d’IP autorisées. Vous pouvez n’autoriser que les IP de serveurs approuvées à utiliser une clé. Une clé copiée depuis une variable d’environnement ne fonctionne pas depuis la machine de l’attaquant. Voir la page des clés d’API et Premiers pas.
• Plafonds d’usage par clé (horaire, quotidien et total). Ils posent un plafond sur ce qu’une clé peut dépenser avant que vous ne le voyiez.
• Blocage par utilisateur final. Envoyez l’en-tête X-End-User-ID, et vous pouvez bloquer un appelant abusif sur une clé sans la faire tourner. Voir Identification de l’utilisateur final.

La documentation publique ne promet pas de remboursement pour un usage fait avec une clé divulguée. Si vous pensez qu’une clé PoYo a été utilisée à mauvais escient, révoquez-la et écrivez au support ([email protected]).

---

Q2. Un clic dans mon application est devenu neuf appels d’API pendant que le fournisseur était saturé.

Ce que les développeurs reprochent : Un développeur a relevé que le SDK Anthropic réessaie déjà deux fois par défaut les requêtes en échec, sur les erreurs 408, 409, 429 et 5xx. Enveloppez cela dans votre propre boucle de trois tentatives, et un seul clic peut envoyer neuf requêtes à une API qui vous demande de ralentir. Un autre développeur a écrit que le Sonnet 5.5 tout juste publié rencontrait encore parfois des erreurs 529.

Comment PoYo répond : Notre page des codes d’erreur donne à chaque statut un sens et une action recommandée. Il est plus simple de décider où placer les nouvelles tentatives :

Deux autres règles documentées comptent ici. Premiers pas indique que les requêtes au-dessus de la limite de débit sont rejetées avec un 429 et n’entrent pas dans la file. Des tentatives en plus n’ajoutent que des rejets. La même page demande de traiter chaque renvoi comme un travail payant potentiellement nouveau et de vérifier, avant de réessayer, si la requête d’origine a déjà créé une tâche. Pour la génération de médias, llms.txt indique que les tâches en échec ne sont pas facturées.

Si vous voulez Sonnet 5.5 lui-même, Claude Sonnet 5.5 est affiché à 1,60 $ en entrée / 8,00 $ en sortie pour 1 million de tokens. La page du modèle le décrit comme 20 % sous les tarifs standard officiels.

---

Q3. J’ai laissé un agent tourner toute la nuit et je me suis réveillé avec une facture à quatre chiffres.

Ce que les développeurs reprochent : Un développeur a écrit qu’il avait laissé par erreur deux sessions d’agent de code tourner toute la nuit et dépensé plus de 2 000 $, et que seule la carte refusée l’avait arrêté. Côté entreprises, un tour d’horizon hebdomadaire notait qu’Accenture avait plafonné Claude à 29 $ par mois et par employé après que certains avaient dépensé de 500 $ à 1 000 $.

Comment PoYo répond : Voici ce que la documentation donne pour arrêter une dépense qui s’emballe :

• Crédits prépayés, pas d’abonnement. La page d’accueil de PoYo décrit des achats de crédits uniques, sans abonnement récurrent. Quand le solde est épuisé, les requêtes reçoivent un 402 insufficient_credits_error (codes d’erreur) au lieu d’accumuler une facture.
• Plafonds horaire, quotidien et total sur chaque clé. Donnez à chaque outil, collègue ou agent sa propre clé avec son propre plafond. Un terminal oublié ne peut pas vider tout le compte (Premiers pas).
• Un solde que l’on peut interroger. GET /api/user/balance renvoie credits_amount en temps réel (solde utilisateur). Vous pouvez vous alerter avant d’atteindre zéro.

---

Q4. Je ne peux pas planifier autour de limites d’usage que personne ne me dit.

Ce que les développeurs reprochent : Un retour sur la période récente d’OpenAI notait qu’environ 40 000 comptes Codex avaient reçu les mauvaises limites d’usage. Un message très lu reprochait aux grands produits d’agents de ne pas indiquer les limites. Un autre développeur a publié une capture d’un message « plus d’usage » qui disait seulement que la limite de débit « se réinitialise à 18 h 28 ». Un autre texte a tenté de documenter ce que neuf services d’IA ne disent pas de leurs offres gratuites.

Comment PoYo répond : La limite par défaut est écrite dans Premiers pas : jusqu’à 20 nouvelles requêtes de génération par 10 secondes et par compte, ce qui « permet en général plus de 100 tâches en cours en même temps ». Les requêtes au-dessus reçoivent un HTTP 429 et ne sont pas mises en file. Si les 429 sont constants, la même page dit que l’on peut demander au support une limite plus haute ; les accords restent prudents. La génération est asynchrone : un travail long n’occupe plus de place dans cette fenêtre de 10 secondes une fois soumis (présentation de l’API).

---

Q5. Un fournisseur passe une mauvaise journée, et tout mon produit tombe avec lui.

Ce que les développeurs reprochent : La page de statut d’OpenAI a montré le 21 octobre une panne partielle avec un taux d’erreurs d’API élevé. Un développeur a résumé la semaine comme OpenCode, Railway et une panne Google Cloud en même temps. Un autre a soutenu que, si l’agent repose sur un seul fournisseur, on est « à une limite de débit, une hausse de prix ou une panne d’API d’un arrêt complet ».

Comment PoYo répond : Voici ce que la documentation soutient, et ce qu’elle ne soutient pas :

• Une clé, plusieurs familles de modèles. Claude, GPT, Gemini, DeepSeek et les modèles média tournent sur la même clé PoYo. Passer à un autre modèle, c’est changer la valeur model, pas commencer une nouvelle intégration. Tous les modèles sont dans llms.txt.
• Erreurs amont distinctes. La page des codes d’erreur sépare 502 upstream_error et 503 service_error. La logique de repli peut les distinguer.
• Ce que nous ne revendiquons pas. La documentation ne décrit pas de bascule automatique entre fournisseurs. Construisez le repli dans le client. Premiers pas dit aussi directement que la « stabilité globale de PoYo peut être un peu inférieure à celle des fournisseurs officiels ». Nous préférons le dire d’emblée.

---

Q6. Une vidéo en 1080p a consommé tous mes crédits.

Ce que les développeurs reprochent : Une créatrice a écrit qu’elle avait épuisé ses crédits Seedance 2.5 sur une seule vidéo de 20 secondes en 1080p et a qualifié le coût d’excessif. Un fil très enregistré sur le cinéma par IA demandait de poser, avant tout paiement, la question : « Combien de crédits les révisions coûteront-elles vraiment ? »

Comment PoYo répond : Chaque modèle vidéo publie des prix à la seconde. Vous pouvez chiffrer un extrait avant de le soumettre :

• Seedance 2.5 indique 480p à 0,140 $/s et 1080p à 0,570 $/s sans entrée vidéo, avec des tarifs à la seconde plus bas lorsque la requête inclut une vidéo de référence. Au tarif affiché, un extrait de 20 secondes en 1080p sans entrée vidéo revient à 11,40 $.
• Kling 3.0 indique le 720p sans audio à 0,135 $/s et le 1080p avec audio à 0,245 $/s.

Itérer en 480p et rendre la version finale en 1080p est le chemin le moins cher que ces prix permettent. Tous les modèles vidéo utilisent le même flux asynchrone de soumission et de statut, et sont rassemblés sur la page API vidéo IA. Les tâches en échec ne sont pas facturées (llms.txt), mais un extrait qui se termine et qui ne vous convient pas compte comme une sortie réussie et est facturé.

---

Q7. On m’a facturé un renouvellement pour des crédits que je n’ai jamais utilisés.

Ce que les développeurs reprochent : Un utilisateur a écrit qu’une plateforme vidéo lui avait facturé 49 $ pour un renouvellement d’abonnement alors qu’il n’avait pas utilisé un seul crédit, et que le support avait répondu à sa demande de remboursement en citant les conditions d’utilisation. Une revue d’une autre suite vidéo signalait son offre comme 2 000 crédits par mois sans report.

Comment PoYo répond : La page d’accueil de PoYo le dit clairement : achats uniques, sans abonnement récurrent, et les crédits n’expirent pas. Il n’y a pas de renouvellement à oublier, ni de remise à zéro mensuelle. Vous pouvez voir ce qu’il reste à tout moment avec le point de terminaison du solde utilisateur, et comparer les prix par modèle sur la page des tarifs.

La documentation publique n’énonce pas de politique de remboursement pour les crédits achetés. Nous n’en inventons pas une ici. Les questions vont à [email protected].

---

Repère rapide