2026-10-26：今日聞いた API への不満 7 件

2026 年 10 月 24 日から 26 日にかけて、英語圏の開発者が公開した不満を、元投稿へのリンク付きで要約しています。各回答は、PoYo の公開サイトとドキュメントに今日書かれている内容だけを使い、出典のページへリンクします。ドキュメントが触れていない点は、そのように記します。

---

Q1. また SaaS が侵害され、AI の API キーも一緒に漏れた。

開発者が不満に思っていること： よく知られた SaaS の侵害で、AI の API キーが大量に漏れ、不正なトラフィックに使われたと報告されています。別に、Railway に結び付く OpenAI の API キー漏えいの報告もあり、ある開発者は 自分のものではない漏えい鍵について OpenAI からメールを受け取ったと書きました。フロントエンドのミスは事態を悪化させています。ブラウザに露出した API キーは、今もよくある欠陥です。

PoYo の回答： まずローテーションしてください。漏えいした秘密は、漏えいした秘密のままです。そのうえで、ドキュメントは盗まれた PoYo の鍵ができることを限る制御を挙げています。

• IP ホワイトリスト。 承認したサーバー IP だけがその鍵を使えるようにできます。環境変数からコピーされた鍵は、攻撃者のマシンからは使えません。API キーのページとはじめにを参照してください。
• 鍵ごとの利用上限（時間、日、累計）。気づく前に、1 つの鍵へ硬い天井を置けます。
• エンドユーザー単位のブロック。 X-End-User-ID ヘッダーを送ると、鍵をローテーションせず、その鍵上の乱用している呼び出し元を 1 件止められます。ブロックされた ID は HTTP 403 と end_user_blocked を返します。エンドユーザー識別を参照してください。

公開ドキュメントは、漏えいした鍵による利用分の返金を約束していません。PoYo の鍵が悪用されたと考える場合は、鍵を失効させ、サポート（[email protected]）へ連絡してください。

---

Q2. モデルのベンダーが競合するアプリを出すと、最初に緩むのはレート制限だ。

開発者が不満に思っていること： ある開発者は端的に書いています。API のベンダーが、自分が競合する製品も出しているなら、最初に緩むのはレート制限だ。Reddit のスレッドは、同じ運用上の問いを繰り返しています。本番で Claude API のレート制限にどう対処しているか、そして AI プロバイダーのレート制限にどのやり方が効くかです。

PoYo の回答： エラーコードのページは、各ステータスに一つの意味と一つの推奨動作を与えています。

はじめには、既定の生成上限を公開しています。アカウントあたり 10 秒につき、新しい生成リクエストは最大 20 件です。それを超えたリクエストは HTTP 429 になり、キューには入りません。チャットとメディアのモデルは 1 つの PoYo の鍵を共有し、llms.txt に載っています。モデルの切り替えは model 文字列の変更であり、新しいベンダーの導入ではありません。429 が続き、上限を上げたい場合、ドキュメントはサポートへの連絡を認めています。承認は慎重に扱われます。

ドキュメントは、プロバイダー間の自動フェイルオーバーを記述していません。フォールバックはクライアントに組んでください。はじめには、PoYo の「全体の安定性は公式プロバイダーよりやや低い場合がある」とも書いています。

---

Q3. 私の「429」は、実は支出上限だった。課金エラーがレート制限の服を着ている。

開発者が不満に思っていること： OpenAI の硬い支出上限は、project_spend_limit_exceeded / organization_spend_limit_exceeded を伴う 429 として現れることがあります。チームは、課金の停止をスロットルのように扱います。動画 API では、ある開発者が 402 は料金を予約する枠が足りないこと、409 は冪等のケースだと指摘しました。別の注意は実務的です。支出上限を置け。ループでも、curl を持った見知らぬ人でも、請求は同じになる。

PoYo の回答： PoYo は エラーコードの表で、この二つのケースを分けています。

課金そのものは前払いクレジットです。ホームページは、一回購入で継続サブスクリプションはなく、クレジットは期限切れしないと書いています。生きた数値が必要なら、GET /api/user/balance をポーリングして credits_amount を読みます（ユーザー残高）。

---

Q4. OpenAI、Anthropic、OpenRouter のどれの、どのモデルが予算を食べたかが見えない。

開発者が不満に思っていること： ある開発者は、OpenRouter の支出急増をモデル別に分解できるかと尋ねました。別の人は OpenAI / Anthropic / xAI 向けの View Spend のような道具を指しています。企業の話も、Replit が割引のために、1 億ドル超の AI 支出を Anthropic から OpenAI へ移したことを思い出させます。ベンダーは違い、請求書も違う。見えない場所は同じです。

PoYo の回答： 文書化された三点が、この不満に合います。

1. 一つの鍵、一つの残高。 チャットとメディアは一つの PoYo アカウントを共有します。GET /api/user/balance をポーリングして credits_amount を読みます（ユーザー残高）。
2. 鍵ごとの時間、日、累計の上限は API キーのページにあります。一つのエージェントや一つの環境が、口座全体を空にすることはできません（はじめに）。
3. タスク履歴と公開価格。 はじめにが説明する タスク履歴で、モデル、入力、状態を確認します。チャットとメディアの価格は 料金ページで比べ、モデルごとの現行価格は llms.txt か、各モデルの llms.txt から読みます。

---

Q5. 「サーバー関数」は誰でも呼べて、鍵は curl が見つけられる場所にある。

開発者が不満に思っていること： 同じ支出上限の投稿は、誰でも呼べるサーバー関数には、ユーザーごとのレート制限と支出上限が要るとも警告しました。別の投稿は直接的です。ブラウザのチャットテンプレートに OpenAI の鍵を置くな。古典的な注意もまだ当たっています。GitHub に .env を置くな。

PoYo の回答： はじめには明確です。API キーをフロントエンドのコードに出してはならない（ブラウザ、モバイルアプリ、公開リポジトリ）。鍵は秘密として扱い、サーバーに置き、本番の鍵について既に文書化されている制御を使います。

• IP ホワイトリストと、鍵ごとの時間 / 日 / 累計の上限。API キーのページにあります。
• X-End-User-ID を必須にし、鍵全体をローテーションせず、乱用している呼び出し元を HTTP 403 end_user_blocked で止める（エンドユーザー識別）。

---

Q6. 動画 API は秒単位でクレジットを燃やす。利用画面は、まだトークンのように見える。

開発者が不満に思っていること： トークンのメーターで育った人にとって、動画の課金は分かりにくいままです。古くても今も引用されるスレッドには、動画の課金と合わない API 利用画面と、再課金が分かりにくい Sora API 拡張の更新があります。主題は現在のものです。料金を予約する枠が足りないとき、動画は 402 を返す。

PoYo の回答： Sora 2 Official（および関連する動画モデル）は、llms.txt と AI 動画 API のページを通じて PoYo のカタログにあります。公開ページが実際に述べている課金規則は次のとおりです。

• 成功した出力ごとのクレジット。価格はモデルごとです（llms.txt）。
• 失敗したタスクは課金されない（ホームページと llms.txt）。
• 現行価格は各モデルページ、および https://poyo.ai/ja/models/<model-id>/llms.txt にあります。有料の作業を投入する前に確認し、金額を記憶から推測しないでください。
• 生成は非同期です。POST /api/generate/submit のあと、状態をポーリングするか callback_url を設定します（はじめに）。クレジットが足りないときは、402 insufficient_credits_error になります（エラーコード）。

---

Q7. ボットを作る人は皆学ぶ。本当のプロダクトマネージャーは API で、レート制限がロードマップを書いている。

開発者が不満に思っていること： ある投稿はこうまとめています。ボットを作る人は皆、API が本当のプロダクトマネージャーだと学ぶ。レート制限がロードマップを書いている。エージェント系のスタートアップは、デモの途中で API がレート制限しないよう祈っていると書いています。別の人は、429 / 5xx でのフェイルオーバーを公に探しています。

PoYo の回答： PoYo の生成は非同期になるよう設計されているので、長いジョブは単一のゲートウェイタイムアウトに縛られません。はじめにと API 概要は、タスクを投入し、task_id を保存し、その後で状態をポーリングするか webhook を受ける、と書いています。本番の負荷では、ドキュメントは頻繁なポーリングより署名付き webhook を好みます。429 では待つか、キューに入れます（エラーコード）。既定の生成上限は、引き続きアカウントあたり 10 秒に新しいリクエスト 20 件です。超過分は拒否され、キューには入りません。画像、動画、音楽、チャット、3D は、一つの統合 API キーの後ろにあります（llms.txt、ホームページ）。上限を上げる必要がある場合はサポートへ連絡してください。承認は慎重に扱われます。

ドキュメントは、プロバイダー間の自動フェイルオーバーを記述していません。クライアントが 429 / 5xx を扱い、次のモデルか再試行の経路を選ぶ必要があります。

---

早見表