2026-10-26: 7 keluhan API yang kami dengar hari ini

Keluhan yang diposting secara terbuka oleh pengembang berbahasa Inggris antara 24 dan 26 Oktober 2026, diringkas di sini beserta tautan ke posting asli. Setiap jawaban hanya memakai apa yang dikatakan situs publik dan dokumentasi PoYo hari ini, dan menautkan halaman sumbernya. Jika dokumentasi tidak membahas sesuatu, kami menyatakannya.

---

Q1. SaaS lain dibobol, dan kunci API AI saya ikut terbawa.

Apa yang dikeluhkan pengembang: Insiden SaaS yang dikenal membuat kunci API AI bocor secara massal dan dipakai untuk lalu lintas penipuan. Secara terpisah, ada laporan kebocoran kunci API OpenAI yang terkait Railway, dan seorang pengembang menerima surel OpenAI tentang kunci yang bocor, padahal kunci itu bukan miliknya. Kesalahan frontend memperburuk keadaan: kunci API yang terbuka di peramban tetap menjadi cacat yang umum.

Bagaimana PoYo menjawab: Rotasi dulu. Rahasia yang bocor tetap rahasia yang bocor. Setelah itu, dokumentasi menyebut kendali yang membatasi apa yang dapat dilakukan kunci PoYo yang dicuri:

• Daftar IP yang diizinkan. Anda dapat mengizinkan hanya IP server yang disetujui untuk memakai sebuah kunci. Kunci yang disalin dari variabel lingkungan tidak bekerja dari mesin penyerang. Lihat halaman kunci API dan Memulai.
• Plafon pemakaian per kunci (per jam, per hari, dan total), supaya satu kunci punya langit-langit yang keras sebelum Anda menyadarinya.
• Pemblokiran per pengguna akhir. Kirim header X-End-User-ID, lalu Anda dapat memblokir satu pemanggil yang menyalahgunakan kunci tanpa merotasinya. ID yang diblokir mengembalikan HTTP 403 dengan end_user_blocked. Lihat Identifikasi pengguna akhir.

Dokumentasi publik tidak menjanjikan pengembalian dana untuk pemakaian yang dilakukan dengan kunci yang bocor. Jika Anda merasa sebuah kunci PoYo disalahgunakan, cabut kunci itu dan tulis ke dukungan ([email protected]).

---

Q2. Ketika penyedia model merilis aplikasi yang saya saingi, batas laju adalah hal pertama yang mengendur.

Apa yang dikeluhkan pengembang: Seorang pembangun mengatakannya lugas: jika penyedia API Anda juga merilis produk yang Anda saingi, batas laju adalah hal pertama yang mengendur. Utas Reddit terus menanyakan soal operasional yang sama: bagaimana orang menangani batas laju API Claude di produksi dan pendekatan apa yang berhasil untuk batas laju penyedia AI.

Bagaimana PoYo menjawab: Halaman kode kesalahan kami memberi setiap status satu makna dan satu tindakan yang disarankan:

Memulai menerbitkan batas pembuatan bawaan: hingga 20 permintaan pembuatan baru per 10 detik, per akun. Permintaan di atas batas itu mendapat HTTP 429 dan tidak masuk antrean. Model chat dan media berbagi satu kunci PoYo dan tercantum di llms.txt. Berganti model adalah mengubah string model, bukan menggabungkan penyedia baru. Jika 429 terus terjadi, dokumentasi mengatakan Anda dapat menulis ke dukungan untuk batas yang lebih tinggi. Persetujuan ditangani dengan hati-hati.

Dokumentasi tidak menggambarkan failover otomatis antarpenyedia. Bangun fallback di klien. Memulai juga mengatakan “stabilitas keseluruhan PoYo mungkin sedikit lebih rendah daripada penyedia resmi”.

---

Q3. “429” saya sebenarnya plafon belanja. Kesalahan penagihan yang memakai baju batas laju.

Apa yang dikeluhkan pengembang: Plafon belanja keras OpenAI dapat muncul sebagai 429 dengan project_spend_limit_exceeded / organization_spend_limit_exceeded, sehingga tim memperlakukan penghentian penagihan seperti pembatasan laju. Pada API video, seorang pengembang mencatat bahwa 402 berarti kuota tidak cukup untuk menahan biaya, sedangkan 409 adalah kasus idempotensi. Pengingat lain bersifat praktis: pasang plafon belanja, supaya sebuah putaran atau orang asing dengan curl menagih Anda dengan cara yang sama.

Bagaimana PoYo menjawab: PoYo memisahkan kedua kasus itu dengan jelas di tabel kode kesalahan:

Penagihan itu sendiri adalah kredit prabayar. Beranda mengatakan: pembelian satu kali tanpa langganan berulang, dan kredit tidak kedaluwarsa. Lakukan polling GET /api/user/balance untuk membaca credits_amount ketika Anda butuh angka yang hidup (saldo pengguna).

---

Q4. Saya tidak bisa melihat model mana yang menghabiskan anggaran di OpenAI, Anthropic, dan OpenRouter.

Apa yang dikeluhkan pengembang: Seorang pengembang bertanya apakah lonjakan belanja OpenRouter terurai per model. Yang lain menunjuk alat seperti View Spend untuk OpenAI / Anthropic / xAI. Gosip perusahaan mengingatkan bahwa Replit memindahkan belanja AI lebih dari $100 juta dari Anthropic ke OpenAI demi diskon. Penyedia berbeda, faktur berbeda, titik buta yang sama.

Bagaimana PoYo menjawab: Tiga bagian yang terdokumentasi cocok dengan keluhan ini:

1. Satu kunci, satu saldo. Chat dan media berbagi satu akun PoYo. Lakukan polling GET /api/user/balance untuk membaca credits_amount (saldo pengguna).
2. Plafon per jam, per hari, dan total pada setiap kunci di halaman kunci API, supaya satu agen atau satu lingkungan tidak dapat menguras seluruh akun (Memulai).
3. Riwayat tugas dan harga yang diterbitkan. Periksa model, masukan, dan status pada permukaan riwayat tugas yang dijelaskan Memulai. Bandingkan harga chat dan media di halaman harga, lalu baca harga terkini per model dari llms.txt atau llms.txt tiap model.

---

Q5. “Fungsi server” saya dapat dipanggil siapa saja, dan kuncinya ada di tempat yang ditemukan curl.

Apa yang dikeluhkan pengembang: Postingan plafon belanja yang sama juga memperingatkan bahwa fungsi server yang dapat dipanggil siapa saja perlu batas laju per pengguna dan plafon belanja. Postingan lain lugas: jangan taruh kunci OpenAI di templat obrolan peramban. Nasihat klasik masih berlaku: jangan taruh .env di GitHub.

Bagaimana PoYo menjawab: Memulai eksplisit: jangan pernah membuka kunci API di kode frontend (peramban, aplikasi seluler, repositori publik). Perlakukan kunci sebagai rahasia, simpan di server Anda, dan pakai kendali yang sudah didokumentasikan untuk kunci produksi:

• Daftar IP yang diizinkan serta plafon per jam / per hari / total pada setiap kunci, di halaman kunci API.
• Wajibkan X-End-User-ID, lalu blokir pemanggil yang menyalahgunakan dengan HTTP 403 end_user_blocked tanpa merotasi seluruh kunci (Identifikasi pengguna akhir).

---

Q6. API video membakar kredit per detik, dan antarmuka pemakaian masih terlihat seperti token.

Apa yang dikeluhkan pengembang: Penagihan video terus membingungkan orang yang tumbuh dengan meter token. Utas yang lebih lama tetapi masih dikutip membahas antarmuka pemakaian API yang tidak cocok dengan cara video ditagih dan pembaruan ekstensi API Sora dengan penagihan ulang yang membingungkan. Temanya masih berlangsung: video mengembalikan 402 ketika kuota tidak cukup untuk menahan biaya.

Bagaimana PoYo menjawab: Sora 2 Official dan model video terkait ada di katalog PoYo lewat llms.txt dan halaman API video AI. Aturan penagihan yang benar-benar dinyatakan halaman publik:

• Kredit per keluaran yang berhasil, berharga per model (llms.txt).
• Tugas yang gagal tidak ditagih (beranda dan llms.txt).
• Harga terkini ada di setiap halaman model dan di https://poyo.ai/id/models/<model-id>/llms.txt. Periksa sebelum mengirim pekerjaan berbayar. Jangan menyimpulkan jumlah dari ingatan.
• Pembuatan bersifat asinkron: POST /api/generate/submit, lalu lakukan polling status atau atur callback_url (Memulai). Ketika kredit tidak cukup, Anda mendapat 402 insufficient_credits_error (kode kesalahan).

---

Q7. Setiap pembangun bot belajar bahwa API adalah manajer produk yang sebenarnya. Batas laju menulis peta jalan.

Apa yang dikeluhkan pengembang: Satu posting merangkumnya: setiap pembangun bot belajar bahwa API adalah manajer produk yang sebenarnya; batas laju sedang menulis peta jalan. Startup agen terus berharap API tidak membatasi laju di tengah demo. Yang lain secara terbuka mencari failover pada 429 / 5xx.

Bagaimana PoYo menjawab: Pembuatan di PoYo dirancang asinkron, sehingga pekerjaan panjang tidak terikat pada satu waktu habis gateway. Memulai dan ikhtisar API mengatakan: kirim sebuah tugas, simpan task_id, lalu lakukan polling status atau terima webhook. Untuk beban produksi, dokumentasi lebih memilih webhook bertanda tangan daripada polling yang sering. Pada 429, tunggu atau antrekan (kode kesalahan). Batas pembuatan bawaan tetap 20 permintaan baru / 10 detik per akun; kelebihan ditolak dan tidak masuk antrean. Gambar, video, musik, chat, dan 3D berada di belakang satu kunci API terpadu (llms.txt, beranda). Jika Anda perlu batas yang lebih tinggi, hubungi dukungan. Persetujuan ditangani dengan hati-hati.

Dokumentasi tidak menggambarkan failover otomatis antarpenyedia. Klien Anda harus menangani 429 / 5xx dan memilih model berikutnya atau jalur percobaan ulang.

---

Peta singkat