2026-10-28：今日聞いた API への不満 7 件

2026 年 10 月 26 日から 28 日にかけて、英語圏の開発者が公開した不満を、元投稿へのリンク付きで要約しています。各回答は、PoYo の公開サイトとドキュメントに今日書かれている内容だけを使い、出典のページへリンクします。ドキュメントが触れていない点は、そのように記します。

---

Q1. Claude Code はリファクタの途中で利用上限の壁に当たった——「自分の API キーへ戻る」きれいな経路は、まだない。

開発者が不満に思っていること： 10 月 27 日から 28 日のタイムラインには、Claude Code と Codex の利用上限を並べたスクリーンショットが並びました。開発者は、サブスクリプションの上限に達したあと Claude Code が API キーへ戻れるかを尋ね（@irl_danB）、リファクタの途中で上限に当たるのは新しい「保存し忘れ」だと冗談にし（@automater_ai）、あるスタックでは 20 ドルの階層が役に立たない一方、別の Plus サブスクリプションは上限に一度も掛からない、と比べました（@mozdca、@LeoZhang57）。

PoYo の回答： PoYo は前払いのクレジットであり、サブスクリプションの 5 時間枠や週次枠ではありません。ホームページは、一回のクレジット購入、継続サブスクリプションがないこと、クレジットが期限切れしないことを書いています。支払うのは成功した生成に対してです。llms.txt は、失敗したタスクは課金されないと述べています。チャットとメディアは一つの API キーと一つの残高を共有します。生きた credits_amount が必要なら、GET /api/user/balance をポーリングします（ユーザー残高）。

残高がなくなると、PoYo はローリングな利用枠をスロットルに見せたものではなく、402 insufficient_credits_error を返します（エラーコード）。課金がすでにクレジット制なので、「サブスクリプション → API キー」のフェイルオーバーという製品機能はドキュメントにありません。暴走するエージェントには、API キーのページにある鍵ごとの時間 / 日 / 累計の利用上限をかけてください（はじめに）。

---

Q2. Claude Code の「429」は三つの別のメッセージである——待ち続けて効くのは、そのうち一つだけ。

開発者が不満に思っていること： トラブルシューティングのスレッドは、Claude Code が 429 の形をした失敗を三つ出し得ると指摘しました。リセットを待つ、少しして再試行する、API キーを確認する。それぞれ直し方が違います（@aiparabellum）。別に、開発者は Anthropic のエージェント tooling のレート制限がもう直ったかを尋ねていました（@XavierDelon、@GeorgeMathew_）。

PoYo の回答： エラーコードは、課金とレート制限を別の番号に置いています。

既定の生成スループットは、アカウントあたり 10 秒につき新しいリクエスト 20 件までと書かれています。超過は HTTP 429 になり、キューには入りません（はじめに）。統合のトラブルシューティングもこう言います。レート制限では Retry-After に従うこと。task_id が作られたか分かるまで、有料の送信をむやみに再試行しないこと（トラブルシューティング）。

ドキュメントは、上流プロバイダー間の自動フェイルオーバーはないと述べています。それはクライアント側に組んでください。

---

Q3. エージェントのチャットに一度でも貼った API キーは、今もプロジェクトのログに残っている。

開発者が不満に思っていること： Claude のプロジェクトログについてのスレッドのあと、ある返信はリスクを短く切りました。チャットに一度でも貼った API キーは、そのログにも入っている。~/.claude/projects を sk- で grep し、見つかったものはローテーションする（@wazX_7）。近くの投稿は同じ衛生を繰り返していました。AI の鍵は root 資格情報のように扱う（@RuntimeAI_io）。停止スイッチのない共有鍵を、すべてのエージェントに渡すのはやめる（@RohanBhanotAI）。

PoYo の回答： はじめにははっきりしています。API キーをフロントエンドのコード、モバイルアプリ、公開リポジトリに出さないでください。秘密として扱ってください。鍵はサーバーに置きます。貼り付け、または漏えいの疑いのあと：

1. API キーのページで鍵を失効 / ローテーションする。
2. IP ホワイトリストを置き、コピーされた鍵は承認済みサーバー IP からだけ動くようにする。
3. 鍵ごとの時間 / 日 / 累計の上限を置き、漏えいに天井を付ける。
4. 生成とネイティブチャットで X-End-User-ID を送る。鍵全体をローテーションせず、乱用している呼び出し元一人を HTTP 403 end_user_blocked で止める（エンドユーザー識別）。

公開ドキュメントは、漏えいした鍵による利用の返金を約束しません。PoYo の鍵が悪用されたと思う場合は、[email protected] に連絡してください。

---

Q4. 忘れていたアグリゲーター鍵は、今もエージェントの財布である——ホスト侵害が遊休の資格情報を 500 ステップの作業にした。

開発者が不満に思っていること： ある投稿は、忘れた OpenRouter の鍵は今もエージェントの財布だと警告しました。Railway 型の侵害が遊休の鍵を破棄リストに載せ、その一つは、それまでダッシュボードのトラフィックがゼロだったのに、すでに 500 ステップのエージェント作業の支払いに使われていました。指摘された対策は、支出上限、短命の鍵、そして見なくなったホストにプロバイダーのトークンを置かないことです（@neiro_go_neiro）。別の返信は、同じ型を、侵害から数週間たっても鍵を失効し続けているプロバイダーに結び付けました（@Kenz_1604）。

PoYo の回答： 放棄されたホスト上の遊休鍵は、クライアント側の秘密の問題です。秘密が存在したあと、PoYo がドキュメントに書く制御は影響範囲を限られます。

• 環境 / harness ごとに別の鍵を作り、それぞれに時間、日、累計の利用上限を付ける（API キーのページ、はじめに）。
• 本番の鍵には IP 許可リストを有効にする。
• X-End-User-ID を優先し、鍵を消さずに呼び出し元一人を止められるようにする（エンドユーザー識別）。
• GET /api/user/balance で生きた残高を見る（ユーザー残高）。タスク履歴はダッシュボードで見る（はじめに）。

使わなくなった鍵は削除してください。ドキュメントは、未使用鍵の自動失効も、侵害に駆動された支出の返金 SLA も書いていません。そのように言い、ローテーションしてください。

---

Q5. AI の支出に硬い上限を置いた——それから誰かが鍵を手に入れ、一晩でそれを超えた。

開発者が不満に思っていること： ある開発者は AI の請求上限を 25 ドルにしました。誰かが API キーを手に入れ、一晩で 55 ドルまで走らせました（@twentyonemilll）。主題は、以前の OpenRouter のスレッドと同じです。無効化では足りず、鍵の完全な削除だけが流出を止めました。10 月 28 日の窓は、今も同じ不満を出しています。上限はあった。漏えいはそれでも痛かった。

PoYo の回答： 上限が効くのは、それが侵害された資格情報の上で強制されるときです。ダッシュボードの軟らかい予算だけでは足りません。PoYo では：

• すべての本番鍵に、鍵ごとの時間 / 日 / 累計の利用上限を置く（はじめに、API キーのページ）。
• IP ホワイトリストと組み合わせ、攻撃者のネットワークからは鍵が失敗するようにする。
• マルチテナントのアプリでは X-End-User-ID とブロックを使う（エンドユーザー識別）。
• 402 では止まる。クレジットがなくなったという意味です（エラーコード）。大きいバッチの前に残高をポーリングする（ユーザー残高）。

鍵が外に出た可能性があるなら、削除 / 失効してください。軟らかいアラートを下げるだけでは足りません。公開ドキュメントは、漏えいした鍵の支出に対する返金を主張しません。

---

Q6. Google の API キーを取るのがつらいので、「アグリゲーターを使う」が既定になった。

開発者が不満に思っていること： ある開発者は、API キーの登録手順が直るまで Google のモデルは試さない、それまでは OpenRouter だけだと言いました（@sandipb）。近くの投稿は、アグリゲーターをエージェントの支払い財布でありモデルの切り替えだと位置づけ続け（@tomcritchlow）、別の人はテストのためだけに、今も十数本のベンダー鍵を持ち回しています（@sunwei57247249）。

PoYo の回答： PoYo は、画像、動画、音楽、3D、チャットを一つの統一鍵で扱うように作られています（llms.txt、ホームページ）。鍵は API キーのページで作ります。メディアは非同期の POST /api/generate/submit に、ステータスまたは webhook を足します。チャットは、モデルごとのドキュメントにあるとおり、OpenAI 互換、Claude Messages、または Gemini ネイティブのエンドポイントを使います。モデルの切り替えは model 文字列の変更です（チャットでは対応するエンドポイントの形も合わせます）。新しいベンダーの導入手順ではありません。

現在の入力スキーマと価格は https://poyo.ai/models/<id>/llms.txt と、カタログの索引にあります（llms.txt）。ドキュメントは、PoYo が各ラボの公式アカウントのパススルーであるとは主張しません。全体的な安定性は公式プロバイダーよりやや低い場合があるとも書いています（はじめに）。そのトレードオフは意識して選んでください。

---

Q7. クリップを少ししか出さないなら、59 ドルの動画サブスクリプションは高い入り方である——再試行は二つ目の請求を作り得る。

開発者が不満に思っていること： 作り手は、月額の動画ツールプランとクリップ単位の API を比べました。月に AI 動画を少ししか作らないなら、59 ドルのプランが高い経路になり得ます。API はクリップごとに請求し、コーディングエージェントがそれを駆動できます（@aliteqai）。関連する API の痛みは、完成した動画のダウンロードが課金の確定を待って開くこと（@MariaOnchainDev）、そしてむやみな再試行が二つ目の課金ジョブを作るという、続いている恐れです。

PoYo の回答： PoYo の動画は、成功した出力ごとにクレジットで価格が付き、モデルごとに違います。動画カタログは llms.txt にあります（Sora 2、Veo 3.1、Kling、Wan、Seedance、Hailuo など）。手順は統一された非同期 API です。送信し、ステータスをポーリングするか、callback_url を設定します（はじめに、Webhook）。ホームページと llms.txt は、どちらも失敗したタスクは課金されないと述べています。

遅い動画ジョブで再試行を連打する前に。はじめには、送信の再試行は毎回新しい有料作業になり得ると警告しています。元のリクエストがすでに task_id を作ったかを確認してください。激しいポーリングより webhook を優先してください。402、429、5xx は エラーコードの表に従ってください。クレジットの停止をレート制限のように扱わないでください。

---

早見表