2026-10-27 : 7 plaintes sur les API entendues aujourd’hui

Plaintes publiées ouvertement par des développeurs anglophones entre le 25 et le 27 octobre 2026, résumées ici avec les liens vers les messages d’origine. Chaque réponse n’utilise que ce que le site public et la documentation de PoYo disent aujourd’hui, et renvoie vers la page concernée. Lorsque la documentation ne couvre pas un point, nous le disons.

---

Q1. Le nouveau modèle rapide est si rapide qu’il se répond 429 tout seul — surtout au raisonnement maximal et avec des sessions Codex parallèles.

Ce que les développeurs reprochent : GPT-6.1 Terra est sorti comme un palier computer-use plus rapide et moins cher. Les équipes ont tout de suite reçu un HTTP 429 sur Terra / fast-mode et au raisonnement maximal, alors que le même prompt sur Sol ne le faisait pas. Plusieurs messages ont noté zéro jeton consommé sur un 429. Cela veut dire qu’une porte de concurrence ou de débit s’est déclenchée avant le comptage. Des sessions Codex parallèles qui interrogeaient la même clé ont aggravé la situation.

Comment PoYo répond : Notre page des codes d’erreur donne à 429 un sens — rate_limit_error — et une action recommandée : attendre avant de réessayer, ou mettre les requêtes en file. Premiers pas publie la limite de génération par défaut : jusqu’à 20 nouvelles requêtes de génération par 10 secondes, par compte. Au-delà, les requêtes reçoivent HTTP 429 et n’entrent pas dans la file. Les modèles de chat et de médias partagent une clé PoYo et figurent dans llms.txt. Changer de modèle, c’est changer la chaîne model, pas intégrer un nouveau fournisseur. Si les 429 se répètent, la documentation dit que vous pouvez demander une limite plus haute au support. Les approbations sont traitées avec prudence.

La documentation indique qu’il n’y a pas de bascule automatique entre fournisseurs. Construisez le repli dans votre client. Premiers pas dit aussi que « la stabilité globale de PoYo peut être un peu inférieure à celle des fournisseurs officiels ».

---

Q2. Mon « 429 » était en réalité un plafond de dépense — des erreurs de facturation habillées en limite de débit.

Ce que les développeurs reprochent : Un message l’a résumé : HTTP 429 n’est pas un seul mode d’échec. Chez Anthropic, cela peut être une limite de débit, une limite d’accélération ou un plafond de dépense. Un 429 de plafond de dépense n’a souvent pas de Retry-After, donc attendre indéfiniment ne fait rien. Les équipes continuent de traiter un arrêt ferme de facturation comme un bridage.

Comment PoYo répond : PoYo sépare clairement les deux cas dans le tableau des codes d’erreur :

La facturation elle-même repose sur des crédits prépayés. La page d’accueil indique des achats uniques, sans abonnement récurrent, et des crédits qui n’expirent pas. Interrogez GET /api/user/balance pour lire credits_amount quand vous avez besoin d’un chiffre à jour (solde utilisateur). La note des codes d’erreur est explicite : surveillez les crédits pour éviter les 402 pendant un travail critique.

---

Q3. Mon SDK d’agents brûle la fenêtre de limite de débit environ 1,7× plus vite que le chat — et N agents partagent encore un plafond.

Ce que les développeurs reprochent : Anthropic a reconnu un défaut dans l’Agents SDK : en passant du chat au mode agent, les limites de débit de 5 heures de Claude étaient consommées environ 1,7× plus vite que prévu. Séparément, des équipes ont noté que les worktrees règlent les conflits de fichiers, mais dix agents partagent encore une base de données et une limite de débit d’API. Les harnais parallèles se gênent sur la même clé.

Comment PoYo répond : La génération chez PoYo est conçue pour être asynchrone, afin que les travaux longs ne soient pas liés à un seul délai de passerelle. Premiers pas et la vue d’ensemble de l’API disent : soumettez une tâche, enregistrez le task_id, puis interrogez le statut ou recevez un webhook. Pour les charges de production, la documentation préfère les webhooks signés aux interrogations fréquentes. Sur un 429, attendez ou mettez en file (codes d’erreur). La limite par défaut reste 20 nouvelles requêtes / 10 s par compte. Le dépassement est refusé et n’entre pas dans la file.

Pour qu’un agent qui s’emballe ne vide pas tout le compte, utilisez les contrôles documentés sur la page des clés d’API et dans Premiers pas : plafonds d’usage par clé, horaire, quotidien et total. Image, vidéo, musique, chat et 3D sont derrière une clé d’API unifiée (llms.txt, page d’accueil).

La documentation indique qu’il n’y a pas de bascule automatique entre fournisseurs. Votre client doit traiter 429 / 5xx et choisir le modèle suivant ou le chemin de nouvel essai.

---

Q4. Un autre SaaS a eu mes clés d’IA — et le fournisseur a dit que la dépense non autorisée n’est pas remboursable.

Ce que les développeurs reprochent : Un développeur a signalé une clé d’API Anthropic compromise qui a atteint 105,94 $ d’usage non autorisé. Le support (via un agent d’IA) a dit que l’usage déjà consommé n’est pas remboursable et a clos l’escalade. La même fenêtre de 48 heures a fait revenir des incidents du type OpenCode Console / Railway, où le butin était des clés OpenAI, Anthropic et Google stockées. Faites tourner d’abord, puis posez un plafond de dépense ferme.

Comment PoYo répond : Faites tourner la clé d’abord. Un secret divulgué reste un secret divulgué. Ensuite, la documentation liste des contrôles qui limitent ce qu’une clé PoYo volée peut faire :

• Liste d’IP autorisées. N’autorisez que les IP de vos serveurs approuvés sur une clé, pour qu’une clé copiée depuis une variable d’environnement ne fonctionne pas sur la machine de l’attaquant. Voir la page des clés d’API et Premiers pas.
• Plafonds d’usage par clé (horaire, quotidien et total), pour qu’une clé ait un plafond ferme avant que vous ne le remarquiez.
• Blocage par utilisateur final. Envoyez l’en-tête X-End-User-ID et vous pouvez bloquer un appelant abusif sur une clé sans la faire tourner. Un identifiant bloqué renvoie HTTP 403 avec end_user_blocked. Voir Identification de l’utilisateur final.

Nos documents publics ne promettent pas de remboursement pour un usage fait avec une clé divulguée. Si vous pensez qu’une clé PoYo a été détournée, révoquez-la et contactez le support ([email protected]).

---

Q5. Un client d’IA devrait savoir quand ne pas réessayer — et les nouvelles tentatives vidéo peuvent doubler la facture en silence.

Ce que les développeurs reprochent : Les nouvelles tentatives aident pour les pannes temporaires, mais elles ne sont pas universelles. Quand une requête est mal formée, qu’un justificatif est invalide ou qu’un modèle n’est pas disponible pour le compte, répéter le même appel ne fait qu’ajouter de la pression. Sur les API vidéo, le même thème apparaît ainsi : appuyer sur réessayer peut créer une seconde tâche facturée.

Comment PoYo répond : Faites correspondre l’erreur à l’action dans les codes d’erreur :

• 402 insufficient_credits_error → rechargez. Ne réessayez pas.
• 429 rate_limit_error → attendez ou mettez en file.
• 500 / 502 / 503 → backoff exponentiel.
• 401 → corrigez la clé. Réessayer le même justificatif invalide ne sert à rien (Premiers pas).

Premiers pas avertit aussi : traitez chaque nouvel envoi comme un travail payant potentiellement nouveau. Avant de renvoyer, confirmez si la requête d’origine a créé une tâche. Pour les médias, llms.txt et la page d’accueil indiquent que les tâches en échec ne sont pas facturées, et que la facturation se fait par sortie réussie, au prix de chaque modèle. Préférez callback_url / les webhooks à un sondage agressif du statut, pour ne pas multiplier la charge pendant l’attente (vue d’ensemble de l’API).

---

Q6. Le tarif de l’API paraît encore déraisonnable à côté de l’abonnement — et je ne vois pas le solde en direct avant que l’agent ne le brûle.

Ce que les développeurs reprochent : Une réponse l’a dit clairement : les abonnements semblent subventionnés, mais le tarif d’API d’OpenAI et d’Anthropic est « déraisonnable ». D’autres messages de la même fenêtre demandaient si l’on sait seulement ce que coûte un seul prompt multi-agent aux tarifs d’API, et rappelaient que les compteurs d’abonnement ChatGPT / Codex et les compteurs d’API ne se parlent pas.

Comment PoYo répond : Trois éléments documentés correspondent à cette plainte :

1. Crédits prépayés, pas de compteur d’abonnement. La page d’accueil décrit un prix au crédit, avec des achats uniques, sans abonnement récurrent, et des crédits qui n’expirent pas. Vous payez les générations réussies. Les tâches en échec ne sont pas facturées (llms.txt).
2. Une clé, un solde. Le chat et les médias partagent un compte PoYo. Interrogez GET /api/user/balance pour lire credits_amount (solde utilisateur).
3. Prix publiés par modèle. Les prix actuels sont sur chaque page de modèle / https://poyo.ai/models/<id>/llms.txt et dans l’index du catalogue (llms.txt). Vérifiez-les avant d’envoyer un travail payant. N’inférez pas des montants en dollars de mémoire. L’historique des tâches (décrit dans Premiers pas) permet d’inspecter ensuite le modèle, les entrées et le statut.

---

Q7. Ma « fonction serveur » / mon bot Telegram est appelable par n’importe qui — et la clé est là où curl peut la trouver.

Ce que les développeurs reprochent : Des messages pratiques de sécurité continuaient d’arriver : restreignez les clés d’API et posez un quota quotidien. Ne collez pas les clés des fournisseurs dans des interfaces de chat ou des agents Telegram. Une clé dans une fonction serveur appelable, sans limite de débit par utilisateur et sans plafond de dépense, est une carte de crédit pour qui trouve l’URL.

Comment PoYo répond : Premiers pas est explicite : n’exposez jamais votre clé d’API dans le code frontend (navigateur, applications mobiles, dépôts publics). Traitez la clé comme un secret, gardez-la sur votre serveur et utilisez les contrôles déjà documentés pour les clés de production :

• Liste d’IP autorisées et plafonds par clé, horaire / quotidien / total, sur la page des clés d’API.
• Exigez X-End-User-ID, puis bloquez un appelant abusif avec HTTP 403 end_user_blocked, sans faire tourner toute la clé (Identification de l’utilisateur final).
• Traitez 401, 402 et 429 explicitement avant la production (Premiers pas, codes d’erreur).

---

Repère rapide