2026-10-27: 7 lamentele sulle API che abbiamo sentito oggi

Lamentele pubblicate apertamente da sviluppatori di lingua inglese tra il 25 e il 27 ottobre 2026, riassunte qui con i link ai post originali. Ogni risposta usa solo ciò che il sito pubblico e la documentazione di PoYo dicono oggi, e rimanda alla pagina da cui proviene. Dove la documentazione non copre un punto, lo diciamo.

---

Q1. Il nuovo modello veloce è così veloce che si risponde 429 da solo — soprattutto con il ragionamento al massimo e sessioni Codex in parallelo.

Di che cosa si lamentano gli sviluppatori: GPT-6.1 Terra è uscito come un livello computer-use più veloce e più economico. Subito dopo, chi costruisce ha ricevuto HTTP 429 su Terra / fast-mode e con il ragionamento al massimo, mentre lo stesso prompt su Sol no. Diversi post hanno notato zero token usati su un 429. Vuol dire che un cancello di concorrenza o di frequenza è scattato prima della misurazione. Sessioni Codex in parallelo che interrogavano la stessa chiave hanno peggiorato le cose.

Come risponde PoYo: La nostra pagina dei codici di errore dà a 429 un significato — rate_limit_error — e un’azione consigliata: attendere prima di riprovare, oppure mettere le richieste in coda. Per iniziare pubblica il limite di generazione predefinito: fino a 20 nuove richieste di generazione ogni 10 secondi, per account. Le richieste oltre quel limite ricevono HTTP 429 e non entrano in coda. I modelli di chat e media condividono una chiave PoYo e sono elencati in llms.txt, quindi cambiare modello è cambiare la stringa model, non integrare un nuovo fornitore. Se i 429 sono continui, la documentazione dice che potete contattare il supporto per un limite più alto. Le approvazioni sono trattate con cautela.

La documentazione indica che non c’è failover automatico tra fornitori. Costruite il fallback nel client. Per iniziare dice anche che «la stabilità complessiva di PoYo può essere leggermente inferiore a quella dei fornitori ufficiali».

---

Q2. Il mio «429» era in realtà un tetto di spesa — errori di fatturazione vestiti da limite di frequenza.

Di che cosa si lamentano gli sviluppatori: Un post lo ha riassunto: HTTP 429 non è un solo modo di fallire. Su Anthropic può significare un limite di frequenza, un limite di accelerazione o un tetto di spesa. Un 429 da tetto di spesa spesso non ha Retry-After, quindi attendere all’infinito non fa nulla. I team continuano a trattare uno stop duro di fatturazione come una limitazione.

Come risponde PoYo: PoYo separa i due casi in modo chiaro nella tabella dei codici di errore:

La fatturazione stessa è a crediti prepagati. La home dice acquisti una tantum, senza abbonamenti ricorrenti, e i crediti non scadono. Interrogate GET /api/user/balance per leggere credits_amount quando vi serve un numero aggiornato (saldo utente). La nota dei codici di errore è esplicita: monitorate i crediti per evitare i 402 durante il lavoro critico.

---

Q3. Il mio SDK per agenti sta bruciando la finestra del limite di frequenza circa 1,7× più in fretta della chat — e N agenti condividono ancora un tetto.

Di che cosa si lamentano gli sviluppatori: Anthropic ha riconosciuto un difetto nell’Agents SDK che consumava i limiti di frequenza di 5 ore di Claude circa 1,7× più in fretta del previsto, nel passaggio dalla chat alla modalità agente. A parte, chi costruisce ha notato che i worktree risolvono i conflitti sui file, ma dieci agenti condividono ancora un database e un limite di frequenza dell’API. Gli harness in parallelo si intralciano sulla stessa chiave.

Come risponde PoYo: La generazione su PoYo è progettata per essere asincrona, così i lavori lunghi non restano legati a un singolo timeout del gateway. Per iniziare e la panoramica dell’API dicono: inviate un task, salvate il task_id, poi interrogate lo stato o ricevete un webhook. Per i carichi di produzione, la documentazione preferisce webhook firmati alle interrogazioni frequenti. Su 429, attendete o mettete in coda (codici di errore). Il limite predefinito resta 20 nuove richieste / 10 s per account. L’eccedenza viene rifiutata e non entra in coda.

Per impedire che un agente fuori controllo svuoti l’intero account, usate i controlli documentati sulla pagina delle chiavi API e in Per iniziare: tetti d’uso per chiave, orari, giornalieri e totali. Immagine, video, musica, chat e 3D stanno dietro una chiave API unificata (llms.txt, home).

La documentazione indica che non c’è failover automatico tra fornitori. Il client deve gestire 429 / 5xx e scegliere il modello successivo o il percorso di nuovo tentativo.

---

Q4. Un altro SaaS ha avuto le mie chiavi di IA — e il fornitore ha detto che la spesa non autorizzata non è rimborsabile.

Di che cosa si lamentano gli sviluppatori: Uno sviluppatore ha segnalato una chiave API Anthropic compromessa che ha raggiunto 105,94 $ di uso non autorizzato. Il supporto (tramite un agente di IA) ha detto che l’uso già consumato non è rimborsabile e ha chiuso l’escalation. Nella stessa finestra di 48 ore sono tornati incidenti nello stile di OpenCode Console / Railway, in cui il premio erano chiavi OpenAI, Anthropic e Google conservate. Ruotate prima, poi ponete un tetto di spesa duro.

Come risponde PoYo: Ruotate prima. Un segreto esposto resta un segreto esposto. Poi la documentazione elenca controlli che limitano ciò che una chiave PoYo rubata può fare:

• Whitelist IP. Consentite su una chiave solo gli IP dei server approvati, così una chiave copiata da una variabile d’ambiente non funziona sulla macchina di chi attacca. Vedere la pagina delle chiavi API e Per iniziare.
• Tetti d’uso per chiave (orari, giornalieri e totali), così una chiave ha un tetto duro prima che ve ne accorgiate.
• Blocco per utente finale. Inviate l’header X-End-User-ID e potete bloccare un chiamante abusivo su una chiave senza ruotarla. Un ID bloccato restituisce HTTP 403 con end_user_blocked. Vedere Identificazione dell’utente finale.

I nostri documenti pubblici non promettono rimborsi per l’uso fatto con una chiave esposta. Se pensate che una chiave PoYo sia stata usata in modo improprio, revocatela e contattate il supporto ([email protected]).

---

Q5. Un client di IA dovrebbe sapere quando non riprovare — e i nuovi tentativi sul video possono raddoppiare il conto in silenzio.

Di che cosa si lamentano gli sviluppatori: I nuovi tentativi aiutano per i guasti temporanei, ma non sono universali. Se una richiesta è malformata, una credenziale non è valida o un modello non è disponibile per l’account, ripetere la stessa chiamata aggiunge solo pressione. Sulle API video lo stesso tema compare così: premere riprova può creare un secondo task fatturato.

Come risponde PoYo: Fate corrispondere l’errore all’azione nei codici di errore:

• 402 insufficient_credits_error → ricaricate. Non riprovate.
• 429 rate_limit_error → attendete o mettete in coda.
• 500 / 502 / 503 → backoff esponenziale.
• 401 → correggete la chiave. Riprovare la stessa credenziale non valida non aiuta (Per iniziare).

Per iniziare avverte anche: trattate ogni nuovo invio come possibile lavoro a pagamento nuovo. Prima di inviare di nuovo, confermate se la richiesta originale ha creato un task. Per i media, llms.txt e la home indicano che i task falliti non sono addebitati e che la fatturazione è per output riuscito, con prezzo per modello. Preferite callback_url / i webhook a un polling aggressivo dello stato, per non moltiplicare il carico mentre attendete (panoramica dell’API).

---

Q6. Il prezzo dell’API resta sproporzionato accanto all’abbonamento — e non vedo il saldo aggiornato prima che l’agente lo bruci.

Di che cosa si lamentano gli sviluppatori: Una risposta lo ha detto in modo diretto: gli abbonamenti sembrano sovvenzionati, ma il prezzo API di OpenAI e Anthropic è «sproporzionato». Altri post nella stessa finestra chiedevano se si sa davvero quanto costa un singolo prompt multi-agente alle tariffe API, e ricordavano che i contatori dell’abbonamento ChatGPT / Codex e quelli dell’API non si parlano.

Come risponde PoYo: Tre elementi documentati corrispondono a questa lamentela:

1. Crediti prepagati, nessun contatore di abbonamento. La home descrive prezzi a crediti, con acquisti una tantum, senza abbonamenti ricorrenti e crediti che non scadono. Pagate le generazioni riuscite. I task falliti non sono addebitati (llms.txt).
2. Una chiave, un saldo. Chat e media condividono un account PoYo. Interrogate GET /api/user/balance per leggere credits_amount (saldo utente).
3. Prezzi pubblicati per modello. I prezzi attuali stanno su ogni pagina di modello / https://poyo.ai/models/<id>/llms.txt e nell’indice del catalogo (llms.txt). Controllateli prima di inviare lavoro a pagamento. Non ricavate importi in dollari a memoria. La cronologia dei task (descritta in Per iniziare) permette di ispezionare dopo modello, input e stato.

---

Q7. La mia «funzione server» / il bot Telegram è chiamabile da chiunque — e la chiave sta dove curl può trovarla.

Di che cosa si lamentano gli sviluppatori: Continuavano ad arrivare post pratici sulla sicurezza: limitate le chiavi API e ponete una quota giornaliera. Non incollate le chiavi dei fornitori nelle interfacce di chat o negli agenti Telegram. Una chiave dentro una funzione server chiamabile, senza limite di frequenza per utente e senza tetto di spesa, è una carta di credito per chi trova l’URL.

Come risponde PoYo: Per iniziare è esplicito: non esponete mai la chiave API nel codice frontend (browser, app mobili, repository pubblici). Trattate la chiave come un segreto, tenetela sul vostro server e usate i controlli già documentati per le chiavi di produzione:

• Whitelist IP e tetti per chiave, orari / giornalieri / totali, sulla pagina delle chiavi API.
• Richiedete X-End-User-ID, poi bloccate un chiamante abusivo con HTTP 403 end_user_blocked, senza ruotare l’intera chiave (Identificazione dell’utente finale).
• Gestite 401, 402 e 429 in modo esplicito prima della produzione (Per iniziare, codici di errore).

---

Mappa rapida