Lamentele pubblicate apertamente da sviluppatori di lingua inglese tra il 26 e il 28 ottobre 2026, riassunte qui con i link ai post originali. Ogni risposta usa solo ciò che il sito pubblico e la documentazione di PoYo dicono oggi, e rimanda alla pagina da cui proviene. Dove la documentazione non copre un punto, lo diciamo.
Q1. Claude Code ha urtato il muro d’uso a metà di un refactor — e non c’è ancora un percorso pulito per «tornare alla mia chiave API».
Di che cosa si lamentano gli sviluppatori: Le timeline del 27 e 28 ottobre erano piene di schermate affiancate dei limiti d’uso di Claude Code e Codex. Chi costruisce ha chiesto se Claude Code può tornare a una chiave API quando si raggiungono i limiti dell’abbonamento (@irl_danB), ha scherzato sul fatto che urtare un limite a metà refactor è il nuovo «ho dimenticato di salvare» (@automater_ai) e ha confrontato livelli da 20 dollari che sembrano inutili su uno stack mentre un altro abbonamento Plus non scatta mai (@mozdca, @LeoZhang57).
Come risponde PoYo: PoYo sono crediti prepagati, non una finestra di abbonamento di 5 ore o settimanale. La home descrive acquisti una tantum di crediti, senza abbonamenti ricorrenti, e crediti che non scadono. Si paga per le generazioni riuscite. llms.txt indica che i task falliti non si addebitano. Chat e media condividono una chiave API e un saldo. Per un credits_amount aggiornato, interrogate GET /api/user/balance (saldo utente).
Quando il saldo è esaurito, PoYo restituisce 402 insufficient_credits_error, non una finestra d’uso scorrevole vestita da limitazione (codici di errore). Non c’è una funzione di prodotto documentata di passaggio «abbonamento → chiave API», perché la fatturazione è già a crediti. Mettete un tetto a un agente fuori controllo con i limiti d’uso per chiave, orari, giornalieri e totali, sulla pagina delle chiavi API (Per iniziare).
Q2. Il «429» di Claude Code sono tre messaggi diversi: aspettare all’infinito aiuta solo uno di essi.
Di che cosa si lamentano gli sviluppatori: Un filo di diagnosi ha segnalato che Claude Code può mostrare tre guasti a forma di 429: attendere un reset, riprovare tra un momento, oppure controllare la chiave API. Ognuno chiede una correzione diversa (@aiparabellum). A parte, chi costruisce ha chiesto se i problemi di limite di frequenza negli strumenti per agenti di Anthropic fossero già risolti (@XavierDelon, @GeorgeMathew_).
Come risponde PoYo: I nostri codici di errore tengono fatturazione e limiti di frequenza su numeri diversi:
| Codice | error.type | Significato / cosa fare |
|---|---|---|
| 401 | authentication_error | Chiave non valida o assente. Correggete la credenziale. Non riprovate la stessa chiave errata (Per iniziare). |
| 402 | insufficient_credits_error | Il saldo è esaurito. Ricaricate. Riprovare non servirà. |
| 429 | rate_limit_error | Limite di frequenza. Attendete o mettete in coda. |
| 500 / 502 / 503 | internal_error / upstream_error / service_error | Backoff esponenziale. |
Il throughput di generazione predefinito è documentato fino a 20 nuove richieste ogni 10 secondi per account. L’eccedenza riceve HTTP 429 e non entra in coda (Per iniziare). La risoluzione dei problemi di integrazione dice anche: rispettate Retry-After sui limiti di frequenza, e non riprovate alla cieca un invio a pagamento finché non sapete se è stato creato un task_id (risoluzione dei problemi).
La documentazione descrive l’assenza di failover automatico tra fornitori a monte. Costruitelo nel client.
Q3. Qualsiasi chiave API che ho incollato nella chat dell’agente è ancora nei log del progetto.
Di che cosa si lamentano gli sviluppatori: Dopo un filo sui log di progetto di Claude, una risposta è andata al rischio: qualsiasi chiave API incollata nella chat è anche in quei log. Cercate sk- in ~/.claude/projects e ruotate ciò che emerge (@wazX_7). Post vicini ripetevano la stessa igiene: trattate le chiavi di IA come credenziali di root (@RuntimeAI_io) e smettete di dare a ogni agente una chiave condivisa senza interruttore di arresto (@RohanBhanotAI).
Come risponde PoYo: Per iniziare è netto: non esponete mai la chiave API nel codice frontend, nelle app mobili o nei repository pubblici, e trattatela come un segreto. Tenete le chiavi sul vostro server. Dopo un incolla o un sospetto di esposizione:
- Revocate / ruotate la chiave sulla pagina delle chiavi API.
- Whitelist IP, così una chiave copiata funziona solo da IP di server approvati.
- Tetti per chiave, orari / giornalieri / totali, così un’esposizione ha un soffitto.
- Inviate
X-End-User-IDsulla generazione e sulla chat nativa. Bloccate un chiamante abusivo con HTTP 403end_user_blocked, senza ruotare l’intera chiave (Identificazione dell’utente finale).
I documenti pubblici non promettono rimborsi per l’uso fatto con una chiave esposta. Scrivete a [email protected] se ritenete che una chiave PoYo sia stata usata in modo improprio.
Q4. La mia chiave di aggregatore dimenticata è ancora un portafoglio di agente: un’intrusione sull’host ha trasformato credenziali inattive in un lavoro di 500 passi.
Di che cosa si lamentano gli sviluppatori: Un post ha avvertito che una chiave OpenRouter dimenticata è ancora un portafoglio di agente: un’intrusione in stile Railway ha messo chiavi inattive su un elenco da revocare, e una aveva già finanziato un lavoro di agente di 500 passi mentre le dashboard mostravano traffico zero fino a quel momento. Il rimedio indicato: tetti di spesa, chiavi di breve durata e nessun token di fornitore su host che avete smesso di osservare (@neiro_go_neiro). Un’altra risposta ha legato lo stesso schema a fornitori che revocano ancora chiavi a settimane dalle intrusioni (@Kenz_1604).
Come risponde PoYo: Chiavi inattive su host abbandonati sono un problema di segreto lato client. I controlli documentati di PoYo limitano il raggio una volta che il segreto esiste:
- Create chiavi separate per ambiente / harness, ciascuna con tetti d’uso orari, giornalieri e totali (pagina delle chiavi API, Per iniziare).
- Attivate una lista di IP consentiti per le chiavi di produzione.
- Preferite
X-End-User-ID, così potete bloccare un chiamante senza cancellare la chiave (Identificazione dell’utente finale). - Osservate il saldo in tempo reale con
GET /api/user/balance(saldo utente) e la cronologia dei task nella dashboard (Per iniziare).
Cancellate le chiavi che non usate più. La documentazione non descrive una scadenza automatica delle chiavi inutilizzate né uno SLA di rimborso per la spesa guidata da un’intrusione. Ditelo, e ruotate.
Q5. Ho fissato un tetto duro di spesa per l’IA — poi qualcuno ha ottenuto la chiave e l’ha superato in una notte.
Di che cosa si lamentano gli sviluppatori: Uno sviluppatore ha fissato un limite di fattura IA a 25 dollari. Qualcuno ha ottenuto la chiave API e l’ha portata a 55 dollari in una notte (@twentyonemilll). Il tema coincide con fili più vecchi di OpenRouter: disabilitare non bastava e solo la cancellazione completa della chiave fermava il drenaggio. La finestra del 28 ottobre produce ancora la stessa lamentela: il tetto c’era, l’esposizione ha fatto male lo stesso.
Come risponde PoYo: I tetti aiutano solo se sono applicati sulla credenziale compromessa, non solo su un budget morbido della dashboard. Su PoYo:
- Mettete tetti d’uso per chiave, orari / giornalieri / totali, su ogni chiave di produzione (Per iniziare, pagina delle chiavi API).
- Combinateli con una whitelist IP, così la chiave fallisce dalla rete dell’attaccante.
- Usate
X-End-User-IDpiù il blocco per le app multi-tenant (Identificazione dell’utente finale). - Su 402, fermatevi: i crediti sono esauriti (codici di errore). Interrogate il saldo prima dei lotti grandi (saldo utente).
Se una chiave può essere uscita, cancellatela o revocatela. Non limitatevi ad abbassare un avviso morbido. I documenti pubblici non rivendicano rimborsi per la spesa di una chiave esposta.
Q6. Ottenere una chiave API di Google è così faticoso che «usare un aggregatore» è diventata la scelta predefinita.
Di che cosa si lamentano gli sviluppatori: Uno sviluppatore ha detto che proverà i modelli Google solo se il percorso di iscrizione della chiave API viene sistemato. Fino ad allora, solo OpenRouter (@sandipb). Post vicini hanno continuato a presentare gli aggregatori come il portafoglio di pagamento e il cambio di modello degli agenti (@tomcritchlow), mentre altri gestiscono ancora una dozzina di chiavi di fornitore solo per provare (@sunwei57247249).
Come risponde PoYo: PoYo è costruito come una chiave unificata per immagine, video, musica, 3D e chat (llms.txt, home). Create una chiave sulla pagina delle chiavi API. I media usano il POST /api/generate/submit asincrono più stato o webhook. La chat usa gli endpoint compatibili con OpenAI, Claude Messages o nativi Gemini, come documentato per modello. Cambiare modello è cambiare la stringa model (e la forma di endpoint corrispondente per la chat), non un nuovo onboarding di fornitore.
Gli schemi di input e i prezzi attuali sono su https://poyo.ai/models/<id>/llms.txt e nell’indice del catalogo (llms.txt). La documentazione non afferma che PoYo sia un passaggio diretto dell’account ufficiale di ogni laboratorio. Dice anche che la stabilità complessiva può essere un po’ più bassa di quella dei fornitori ufficiali (Per iniziare). Scegliete il compromesso con cognizione.
Q7. Un abbonamento video da 59 dollari è l’ingresso caro se pubblico solo qualche clip — e i tentativi possono inventare una seconda fattura.
Di che cosa si lamentano gli sviluppatori: Chi crea ha confrontato i piani mensili degli strumenti video con le API a pagamento per clip. Se fate solo qualche video di IA al mese, un piano da 59 dollari può essere la strada cara, mentre un’API fattura per clip e gli agenti di coding possono guidarla (@aliteqai). Dolore API collegato: download di video completati aperti solo dopo il regolamento della fatturazione (@MariaOnchainDev), e il timore costante che tentativi alla cieca creino un secondo lavoro addebitato.
Come risponde PoYo: Il video su PoYo ha prezzo in crediti per output riuscito, modello per modello. Il catalogo video è in llms.txt (Sora 2, Veo 3.1, Kling, Wan, Seedance, Hailuo e altri). Il flusso è l’API asincrona unificata: inviare, poi interrogare lo stato o impostare callback_url (Per iniziare, webhook). Home e llms.txt indicano entrambi che i task falliti non si addebitano.
Prima di insistere su un nuovo tentativo di un lavoro video lento: Per iniziare avverte che ogni nuovo invio può essere nuovo lavoro a pagamento. Confermate se la richiesta originale ha già creato un task_id. Preferite i webhook a un polling aggressivo. Su 402, 429 e 5xx, seguite la tabella dei codici di errore. Non trattate uno stop dei crediti come un limite di frequenza.
Mappa rapida
| Lamentela | Dove PoYo lo documenta |
|---|---|
| Muri di tetto d’uso / nessun passaggio da abbonamento ad API | Home: crediti · API del saldo · Codici di errore: 402 · Tetti delle chiavi API |
| Un 429 che significa tre guasti diversi | Codici di errore: 401 / 402 / 429 / 5xx · Per iniziare: limiti di frequenza · Risoluzione dei problemi |
| Chiavi incollate nei log dell’agente | Per iniziare: non esporre la chiave · Pagina delle chiavi API · X-End-User-ID |
| Chiavi di aggregatore inattive dopo intrusioni sull’host | Tetti delle chiavi API · Whitelist IP · Saldo e cronologia dei task · revocare le chiavi inutilizzate |
| Tetto di spesa superato da una chiave esposta | Tetti per chiave · Whitelist IP · X-End-User-ID · Gestione del 402 |
| Onboarding doloroso delle chiavi dei fornitori / proliferazione di chiavi | Una chiave PoYo · Catalogo llms.txt · llms.txt per modello |
| Abbonamento video rispetto al prezzo per clip e all’addebito dei tentativi | Catalogo video · Invio/stato asincrono · Il fallimento non si addebita · Riprovare = nuovo lavoro a pagamento |