2026-10-22: 7 lamentele sulle API che abbiamo sentito oggi

Lamentele pubblicate apertamente da sviluppatori di lingua inglese tra il 20 e il 22 ottobre 2026, riassunte qui con i link ai post originali. Ogni risposta usa solo ciò che il sito pubblico e la documentazione di PoYo dicono oggi, e rimanda alla pagina da cui proviene. Dove la documentazione non copre un punto, lo diciamo.

---

Q1. Le mie chiavi di IA erano nelle variabili d’ambiente dell’host, e qualcuno le ha svuotate durante la notte.

Di che cosa si lamentano gli sviluppatori: Railway ha comunicato il 21 ottobre che una parte non autorizzata potrebbe aver letto variabili d’ambiente decifrate, e ha chiesto a ogni utente di ruotare le chiavi conservate lì. Nel giro di poche ore, uno sviluppatore ha scritto che qualcuno ha speso 500 $ sulla sua chiave OpenAI, un altro che il suo saldo OpenAI era stato esaurito, e un terzo che Anthropic gli aveva scritto per dire che le chiavi conservate su Railway erano state disattivate. La stessa notte, un account di sicurezza ha segnalato che LiteLLM 1.107.0 era stato distribuito per poco con un ladro di credenziali. Il thread su Hacker News ripeteva la stessa domanda: se una chiave esce, chi paga il conto?

Come risponde PoYo: Un segreto esposto resta un segreto esposto. Ruotatelo prima. La documentazione elenca controlli che limitano ciò che una chiave PoYo rubata può fare:

• Elenco di IP consentiti. Si può permettere solo agli IP dei server approvati di usare una chiave. Una chiave copiata da una variabile d’ambiente non funziona dalla macchina di chi attacca. Vedere la pagina delle chiavi API e Per iniziare.
• Tetti d’uso per chiave (orario, giornaliero e totale). Mettono un tetto a quanto una chiave può spendere prima che ve ne accorgiate.
• Blocco per utente finale. Inviate l’header X-End-User-ID e potete bloccare un chiamante abusivo su una chiave senza ruotarla. Vedere Identificazione dell’utente finale.

La documentazione pubblica non promette rimborsi per l’uso fatto con una chiave esposta. Se pensate che una chiave PoYo sia stata usata in modo improprio, revocatela e scrivete al supporto ([email protected]).

---

Q2. Un clic nella mia app è diventato nove chiamate API mentre il fornitore era sovraccarico.

Di che cosa si lamentano gli sviluppatori: Uno sviluppatore ha fatto notare che l’SDK Anthropic riprova già due volte per impostazione predefinita le richieste fallite, su 408, 409, 429 e 5xx. Se lo si avvolge in un ciclo proprio di tre tentativi, un solo clic può inviare nove richieste a un’API che chiede di rallentare. Un altro sviluppatore ha scritto che il Sonnet 5.5 appena pubblicato incontrava ancora a tratti errori 529.

Come risponde PoYo: La nostra pagina dei codici di errore dà a ogni stato un significato e un’azione consigliata. È più semplice decidere dove stanno i nuovi tentativi:

Contano altre due regole documentate. Per iniziare dice che le richieste oltre il limite di frequenza sono rifiutate con 429 e non entrano in coda, quindi i tentativi in più aggiungono solo rifiuti. Dice anche di trattare ogni nuovo invio come lavoro a pagamento potenzialmente nuovo e di controllare, prima di riprovare, se la richiesta originale ha già creato un’attività. Per la generazione di media, llms.txt indica che le attività fallite non sono addebitate.

Se volete Sonnet 5.5 in sé, Claude Sonnet 5.5 è indicato a 1,60 $ in ingresso / 8,00 $ in uscita per 1 milione di token. La pagina del modello lo descrive come il 20 % sotto le tariffe standard ufficiali.

---

Q3. Ho lasciato un agente acceso tutta la notte e mi sono svegliato con un conto a quattro cifre.

Di che cosa si lamentano gli sviluppatori: Uno sviluppatore ha scritto di aver lasciato per errore due sessioni di agente di codice accese tutta la notte e di aver speso oltre 2.000 $, e di essersi fermato solo perché la carta è stata rifiutata. Sul lato aziendale, un riepilogo settimanale notava che Accenture aveva messo un tetto a Claude di 29 $ al mese per dipendente dopo che parte del personale aveva speso da 500 $ a 1.000 $.

Come risponde PoYo: Ecco che cosa dà la documentazione per fermare una spesa che corre:

• Crediti prepagati, niente abbonamenti. La home di PoYo descrive acquisti di crediti una tantum, senza abbonamenti ricorrenti. Quando il saldo finisce, le richieste ricevono un 402 insufficient_credits_error (codici di errore) invece di accumulare un conto.
• Tetti orari, giornalieri e totali su ogni chiave. Date a ogni strumento, collega o agente una chiave propria con un tetto proprio. Un terminale dimenticato non può svuotare l’intero account (Per iniziare).
• Un saldo che si può interrogare. GET /api/user/balance restituisce credits_amount in tempo reale (saldo utente). Potete avvisarvi prima di arrivare a zero.

---

Q4. Non posso pianificare intorno a limiti d’uso che nessuno mi dice.

Di che cosa si lamentano gli sviluppatori: Un riepilogo del periodo recente di OpenAI notava che circa 40.000 account Codex avevano ricevuto i limiti d’uso sbagliati. Un post molto letto si lamentava che i grandi prodotti di agenti non dicano quali sono i limiti. Un altro sviluppatore ha pubblicato uno screenshot di un messaggio «uso esaurito» che diceva solo che il limite di frequenza «si azzera alle 18:28». Un altro testo ha provato a documentare che cosa nove servizi di IA non dicono dei piani gratuiti.

Come risponde PoYo: Il limite predefinito è scritto in Per iniziare: fino a 20 nuove richieste di generazione ogni 10 secondi, per account, il che «di solito consente più di 100 attività in esecuzione insieme». Le richieste oltre quel limite ricevono HTTP 429 e non entrano in coda. Se i 429 sono continui, la stessa pagina dice che si può chiedere al supporto un limite più alto; le approvazioni sono caute. La generazione è asincrona: un lavoro lungo, una volta inviato, non occupa più un posto in quella finestra di 10 secondi (panoramica dell’API).

---

Q5. Un fornitore ha una giornata storta, e tutto il mio prodotto cade con lui.

Di che cosa si lamentano gli sviluppatori: La pagina di stato di OpenAI ha mostrato il 21 ottobre un disservizio parziale con tassi di errore API elevati. Uno sviluppatore ha riassunto la settimana come OpenCode, Railway e un disservizio di Google Cloud insieme. Un altro ha sostenuto che, se l’agente dipende da un solo fornitore, si è «a un limite di frequenza, un aumento di prezzo o un disservizio API da un fermo completo».

Come risponde PoYo: Ecco che cosa sostiene la documentazione, e che cosa non sostiene:

• Una chiave, diverse famiglie di modelli. Claude, GPT, Gemini, DeepSeek e i modelli media girano sulla stessa chiave PoYo. Passare a un altro modello significa cambiare il valore di model, non avviare una nuova integrazione. Tutti i modelli sono in llms.txt.
• Errori a monte distinti. La pagina dei codici di errore separa 502 upstream_error da 503 service_error. La logica di fallback può distinguerli.
• Che cosa non affermiamo. La documentazione non descrive un failover automatico tra fornitori. Costruite il fallback nel client. Per iniziare dice anche in modo diretto che la «stabilità complessiva di PoYo può essere un po’ inferiore a quella dei fornitori ufficiali». Preferiamo dirlo prima.

---

Q6. Un video in 1080p ha consumato tutti i miei crediti.

Di che cosa si lamentano gli sviluppatori: Una creatrice ha scritto di aver esaurito i crediti Seedance 2.5 su un solo video di 20 secondi in 1080p e ha definito il costo eccessivo. Un thread molto salvato sul cinema con IA invitava a chiedere, prima di pagare: «Quanti crediti costeranno davvero le revisioni?»

Come risponde PoYo: Ogni modello video pubblica prezzi al secondo, così si può calcolare una clip prima di inviarla:

• Seedance 2.5 indica 480p a 0,140 $/s e 1080p a 0,570 $/s senza input video, con tariffe al secondo più basse quando la richiesta include un video di riferimento. Alla tariffa indicata, una clip di 20 secondi in 1080p senza input video viene 11,40 $.
• Kling 3.0 indica 720p senza audio a 0,135 $/s e 1080p con audio a 0,245 $/s.

Iterare a 480p e renderizzare il taglio finale a 1080p è il percorso più economico che questi prezzi consentono. Tutti i modelli video usano lo stesso flusso asincrono di invio e stato, e sono raccolti nella pagina API video IA. Le attività fallite non sono addebitate (llms.txt), ma una clip che finisce e che non vi convince conta comunque come output riuscito ed è fatturata.

---

Q7. Mi hanno addebitato un rinnovo su crediti che non ho mai usato.

Di che cosa si lamentano gli sviluppatori: Un utente ha scritto che una piattaforma video gli aveva addebitato 49 $ per un rinnovo di abbonamento anche se non aveva usato un solo credito, e che il supporto aveva risposto alla richiesta di rimborso citando i termini di servizio. Una recensione di un’altra suite video segnalava il piano come 2.000 crediti al mese senza riporto.

Come risponde PoYo: La home di PoYo lo dice in modo diretto: acquisti una tantum, senza abbonamenti ricorrenti, e i crediti non scadono. Non c’è un rinnovo da dimenticare e non c’è un azzeramento mensile. Si può vedere quanto resta in qualsiasi momento con l’endpoint del saldo utente e confrontare i prezzi per modello nella pagina dei prezzi.

La documentazione pubblica non indica una politica di rimborso per i crediti acquistati, quindi non ne inventiamo una qui. Le domande vanno a [email protected].

---

Mappa rapida