2026-10-26 : 7 plaintes sur les API entendues aujourd’hui

Plaintes publiées ouvertement par des développeurs anglophones entre le 24 et le 26 octobre 2026, résumées ici avec les liens vers les messages d’origine. Chaque réponse n’utilise que ce que le site public et la documentation de PoYo disent aujourd’hui, et renvoie vers la page concernée. Lorsque la documentation ne couvre pas un point, nous le disons.

---

Q1. Un autre SaaS a été piraté, et mes clés d’API d’IA avec.

Ce que les développeurs reprochent : Un incident SaaS connu a laissé des clés d’API d’IA divulguées en masse et utilisées pour du trafic frauduleux. Séparément, des personnes ont signalé une fuite de clé d’API OpenAI liée à Railway, et un développeur a reçu un e-mail d’OpenAI au sujet d’une clé divulguée qui n’était même pas la sienne. Les erreurs de frontend aggravent la situation : les clés d’API exposées dans le navigateur restent un défaut courant.

Comment PoYo répond : Faites tourner la clé d’abord. Un secret divulgué reste un secret divulgué. Ensuite, la documentation liste des contrôles qui limitent ce qu’une clé PoYo volée peut faire :

• Liste d’IP autorisées. N’autorisez que les IP de serveurs approuvées sur une clé. Une clé copiée depuis une variable d’environnement ne fonctionne pas depuis la machine de l’attaquant. Voir la page des clés d’API et Premiers pas.
• Plafonds d’usage par clé (horaire, quotidien et total), pour qu’une clé ait un plafond ferme avant que vous ne le remarquiez.
• Blocage par utilisateur final. Envoyez l’en-tête X-End-User-ID et vous pouvez bloquer un appelant abusif sur une clé sans la faire tourner. Un identifiant bloqué renvoie HTTP 403 avec end_user_blocked. Voir Identification de l’utilisateur final.

La documentation publique ne promet pas de remboursement pour l’usage fait avec une clé divulguée. Si vous pensez qu’une clé PoYo a été utilisée à mauvais escient, révoquez-la et écrivez au support ([email protected]).

---

Q2. Quand mon fournisseur de modèles livre l’application avec laquelle je suis en concurrence, la limite de débit est la première à céder.

Ce que les développeurs reprochent : Un développeur l’a dit sans détour : si votre fournisseur d’API livre aussi le produit avec lequel vous êtes en concurrence, la limite de débit est la première à céder. Les fils Reddit posent toujours la même question opérationnelle : comment les gens gèrent les limites de débit de l’API Claude en production et quelles approches tiennent pour les limites de débit des fournisseurs d’IA.

Comment PoYo répond : Notre page codes d’erreur donne à chaque statut un sens et une action recommandée :

Premiers pas publie la limite de génération par défaut : jusqu’à 20 nouvelles requêtes de génération par 10 secondes et par compte. Les requêtes au-dessus reçoivent un HTTP 429 et n’entrent pas dans la file. Les modèles de chat et de média partagent une clé PoYo et figurent dans llms.txt. Changer de modèle, c’est changer la chaîne model, pas intégrer un nouveau fournisseur. Si les 429 sont constants, la documentation dit que vous pouvez écrire au support pour une limite plus haute. Les approbations sont traitées avec prudence.

La documentation ne décrit pas de bascule automatique entre fournisseurs. Construisez le repli dans le client. Premiers pas dit aussi que la « stabilité globale de PoYo peut être un peu inférieure à celle des fournisseurs officiels ».

---

Q3. Mon « 429 » était en réalité un plafond de dépense. Des erreurs de facturation habillées en limite de débit.

Ce que les développeurs reprochent : Les plafonds de dépense fermes d’OpenAI peuvent apparaître en 429 avec project_spend_limit_exceeded / organization_spend_limit_exceeded. Les équipes traitent alors un arrêt de facturation comme un bridage. Sur les API vidéo, un développeur a noté que 402 signifie qu’il n’y a pas assez de quota pour réserver le débit, tandis que 409 est le cas d’idempotence. Un autre rappel était pratique : fixez un plafond de dépense, pour qu’une boucle ou un inconnu avec curl vous facture de la même façon.

Comment PoYo répond : PoYo sépare clairement les deux cas dans le tableau des codes d’erreur :

La facturation elle-même repose sur des crédits prépayés. La page d’accueil dit : achats uniques, sans abonnement récurrent, et les crédits n’expirent pas. Interrogez GET /api/user/balance pour lire credits_amount quand vous avez besoin d’un chiffre à jour (solde utilisateur).

---

Q4. Je ne vois pas quel modèle a consommé le budget entre OpenAI, Anthropic et OpenRouter.

Ce que les développeurs reprochent : Un développeur a demandé si un pic de dépense OpenRouter se décompose par modèle. D’autres ont indiqué des outils comme View Spend pour OpenAI / Anthropic / xAI. Les bruits d’entreprise ont rappelé que Replit a déplacé plus de 100 M$ de dépense d’IA d’Anthropic vers OpenAI pour une remise. Fournisseurs différents, factures différentes, même angle mort.

Comment PoYo répond : Trois éléments documentés correspondent à cette plainte :

1. Une clé, un solde. Le chat et les médias partagent un compte PoYo. Interrogez GET /api/user/balance pour lire credits_amount (solde utilisateur).
2. Plafonds horaires, quotidiens et totaux par clé sur la page des clés d’API, pour qu’un agent ou un environnement ne vide pas tout le compte (Premiers pas).
3. Historique des tâches et prix publiés. Examinez le modèle, les entrées et le statut sur la surface historique des tâches décrite dans Premiers pas. Comparez les prix du chat et des médias sur la page des tarifs, et lisez les prix courants par modèle dans llms.txt ou dans le llms.txt de chaque modèle.

---

Q5. Ma « fonction serveur » est appelable par n’importe qui, et la clé est là où curl la trouve.

Ce que les développeurs reprochent : Le même message sur les plafonds de dépense avertissait aussi qu’une fonction serveur appelable par n’importe qui a besoin d’une limite de débit par utilisateur et d’un plafond de dépense. Un autre message était direct : ne mettez pas une clé OpenAI dans des modèles de chat navigateur. Et le classique tient encore : pas de .env sur GitHub.

Comment PoYo répond : Premiers pas est explicite : n’exposez jamais votre clé d’API dans le code frontend (navigateur, applications mobiles, dépôts publics). Traitez la clé comme un secret, gardez-la sur votre serveur et utilisez les contrôles déjà documentés pour les clés de production :

• Liste d’IP autorisées et plafonds horaires / quotidiens / totaux par clé sur la page des clés d’API.
• Exigez X-End-User-ID, puis bloquez un appelant abusif avec HTTP 403 end_user_blocked, sans faire tourner toute la clé (Identification de l’utilisateur final).

---

Q6. Les API vidéo brûlent des crédits à la seconde, et l’interface d’usage ressemble encore à des jetons.

Ce que les développeurs reprochent : La facturation vidéo continue de dérouter ceux qui ont grandi avec des compteurs de jetons. Des fils plus anciens, mais encore cités, couvrent des interfaces d’usage d’API qui ne correspondent pas à la facturation vidéo et des mises à jour de l’extension d’API Sora avec une refacturation peu claire. Le sujet est actuel : la vidéo renvoie 402 lorsqu’il n’y a pas assez de quota pour réserver le débit.

Comment PoYo répond : Sora 2 Official et les modèles vidéo proches figurent au catalogue PoYo via llms.txt et la page API vidéo IA. Règles de facturation que les pages publiques énoncent réellement :

• Des crédits par sortie réussie, au prix de chaque modèle (llms.txt).
• Les tâches en échec ne sont pas facturées (page d’accueil et llms.txt).
• Les prix courants sont sur chaque page de modèle et sous https://poyo.ai/fr/models/<model-id>/llms.txt. Vérifiez-les avant de soumettre un travail payant. N’inférez pas les montants de mémoire.
• La génération est asynchrone : POST /api/generate/submit, puis interrogez le statut ou définissez callback_url (Premiers pas). Si les crédits ne suffisent pas, vous recevez 402 insufficient_credits_error (codes d’erreur).

---

Q7. Chaque personne qui construit des bots apprend que l’API est le vrai chef de produit. Les limites de débit écrivent la feuille de route.

Ce que les développeurs reprochent : Un message l’a résumé : chaque personne qui construit des bots apprend que l’API est le vrai chef de produit ; la limite de débit écrit la feuille de route. Les startups d’agents continuent d’espérer que l’API ne limite pas le débit au milieu d’une démo. D’autres cherchent ouvertement une bascule sur 429 / 5xx.

Comment PoYo répond : La génération chez PoYo est conçue pour être asynchrone, afin que les travaux longs ne soient pas liés à un seul délai de passerelle. Premiers pas et la vue d’ensemble de l’API disent : soumettez une tâche, enregistrez le task_id, puis interrogez le statut ou recevez un webhook. Pour les charges de production, la documentation préfère les webhooks signés aux interrogations fréquentes. Sur un 429, attendez ou mettez en file (codes d’erreur). La limite par défaut reste 20 nouvelles requêtes / 10 s par compte ; le dépassement est refusé et n’entre pas dans la file. Image, vidéo, musique, chat et 3D sont derrière une clé d’API unifiée (llms.txt, page d’accueil). Si vous avez besoin de limites plus hautes, contactez le support. Les approbations sont traitées avec prudence.

La documentation ne décrit pas de bascule automatique entre fournisseurs. Votre client doit traiter 429 / 5xx et choisir le modèle suivant ou le chemin de nouvel essai.

---

Repère rapide