2026-10-27: 7 skarg na API, które usłyszeliśmy dziś

Skargi, które anglojęzyczni programiści opublikowali między 25 a 27 października 2026, streszczone poniżej własnymi słowami, z linkami do oryginalnych wpisów. Każda odpowiedź opiera się wyłącznie na tym, co dziś mówią publiczna strona i dokumentacja PoYo, i prowadzi do strony, z której pochodzi. Tam, gdzie dokumentacja czegoś nie obejmuje, mówimy o tym wprost.

---

Q1. Nowy szybki model jest tak szybki, że sam wywołuje błąd 429 — zwłaszcza przy maksymalnym rozumowaniu i równoległych sesjach Codex.

Na co skarżą się programiści: GPT-6.1 Terra zadebiutował jako szybki, tańszy poziom do pracy z komputerem (computer use), a zaraz potem użytkownicy zaczęli dostawać HTTP 429 przy Terra, w trybie fast i przy maksymalnym rozumowaniu, podczas gdy ten sam prompt na Sol działał bez problemu. W kilku wpisach zauważono, że przy błędzie 429 zużyto zero tokenów, co oznacza, że limit współbieżności lub limit żądań zadziałał jeszcze przed naliczaniem. Równoległe sesje Codex odpytujące ten sam klucz jeszcze to pogorszyły.

Jak odpowiada PoYo: Nasza strona z kodami błędów przypisuje błędowi 429 jedno znaczenie, rate_limit_error, i jedno zalecane działanie: odczekaj przed ponowną próbą albo kolejkuj żądania. Getting Started podaje domyślny limit generowania: do 20 nowych żądań generowania na 10 sekund na konto. Żądania ponad ten limit dostają HTTP 429 i nie trafiają do kolejki. Modele czatu i modele medialne korzystają z jednego klucza PoYo i są wymienione w llms.txt, więc zmiana modelu to tylko inna wartość w polu model, a nie wdrażanie się u kolejnego dostawcy. Jeśli regularnie dostajesz 429, według dokumentacji możesz skontaktować się ze wsparciem w sprawie wyższego limitu; prośby są rozpatrywane ostrożnie.

W dokumentacji nie ma mowy o automatycznym failover między dostawcami. Zaimplementuj mechanizm awaryjny po stronie klienta. Getting Started mówi też, że „ogólna stabilność PoYo może być nieco niższa niż u oficjalnych dostawców”.

---

Q2. Mój „429” to w rzeczywistości limit wydatków — błędy rozliczeń przebrane za limit żądań.

Na co skarżą się programiści: Jeden wpis ujął to tak: HTTP 429 to nie jeden rodzaj awarii. U Anthropic może oznaczać limit żądań, limit przyspieszenia albo limit wydatków, a 429 z powodu limitu wydatków często nie ma nagłówka Retry-After, więc czekanie w nieskończoność nic nie da. Zespoły wciąż traktują twarde zatrzymanie rozliczeń jak zwykłe ograniczenie przepustowości.

Jak odpowiada PoYo: PoYo wyraźnie rozdziela te dwa przypadki w tabeli kodów błędów:

Same rozliczenia opierają się na kredytach opłacanych z góry: strona główna mówi o jednorazowych zakupach bez cyklicznych subskrypcji i o kredytach, które nigdy nie wygasają. Gdy potrzebujesz aktualnej wartości, odpytaj GET /api/user/balance o credits_amount (saldo użytkownika). Wskazówka przy kodach błędów jest jednoznaczna: monitoruj kredyty, aby uniknąć błędów 402 podczas krytycznych prac.

---

Q3. Mój SDK agentów zjada okno limitów około 1,7 raza szybciej niż czat — a N agentów i tak dzieli jeden limit.

Na co skarżą się programiści: Anthropic przyznał, że w Agents SDK występował błąd, który po przejściu z czatu na tryb agenta zużywał 5-godzinne limity Claude mniej więcej 1,7 raza szybciej, niż oczekiwano. Osobno twórcy zauważyli, że worktrees rozwiązują konflikty plików, ale dziesięć agentów nadal dzieli jedną bazę danych i jeden limit żądań API, więc równoległe środowiska uruchomieniowe wchodzą sobie w drogę na tym samym kluczu.

Jak odpowiada PoYo: Generowanie w PoYo jest zaprojektowane jako asynchroniczne, więc długie zadania nie są przywiązane do jednego limitu czasu bramki. Getting Started i przegląd API mówią: wyślij zadanie, zapisz task_id, a potem odpytuj o status albo odbierz webhook. W środowisku produkcyjnym dokumentacja woli podpisane webhooki od częstego odpytywania. Przy 429 poczekaj lub kolejkuj (kody błędów); domyślny limit generowania to nadal 20 nowych żądań na 10 s na konto, a nadwyżka jest odrzucana, nie kolejkowana.

Żeby jeden rozbiegany agent nie opróżnił całego konta, skorzystaj z mechanizmów opisanych na stronie kluczy API i w Getting Started: godzinnych, dziennych i łącznych limitów użycia dla każdego klucza. Obrazy, wideo, muzykę, czat i 3D obsługuje jeden jednolity klucz API (llms.txt, strona główna).

W dokumentacji nie ma mowy o automatycznym failover między dostawcami. Twój klient musi sam obsłużyć 429 / 5xx i wybrać kolejny model lub ścieżkę ponownej próby.

---

Q4. Inny SaaS przejął moje klucze AI, a dostawca stwierdził, że nieautoryzowane wydatki nie podlegają zwrotowi.

Na co skarżą się programiści: Jeden programista zgłosił przejęty klucz API Anthropic, na którym naliczono $105.94 nieautoryzowanego użycia; wsparcie (przez agenta AI) odpowiedziało, że zużyte środki nie podlegają zwrotowi, i zamknęło eskalację. W tym samym 48-godzinnym oknie wciąż wracały włamania w stylu OpenCode Console / Railway, w których łupem padały zapisane klucze OpenAI, Anthropic i Google — najpierw wymień klucze, potem ustaw twardy pułap wydatków.

Jak odpowiada PoYo: Najpierw wymień klucz — wyciekły sekret to wciąż wyciekły sekret. Potem skorzystaj z mechanizmów z naszej dokumentacji, które ograniczają, co może zrobić skradziony klucz PoYo:

• Lista dozwolonych adresów IP. Zezwól na kluczu tylko na zatwierdzone adresy IP swoich serwerów, żeby klucz skopiowany ze zmiennej środowiskowej nie działał z maszyny atakującego. Zobacz stronę kluczy API i Getting Started.
• Limity użycia dla każdego klucza (godzinne, dzienne i łączne), dzięki którym klucz ma twardy pułap, zanim cokolwiek zauważysz.
• Blokowanie według użytkownika końcowego. Wyślij nagłówek X-End-User-ID, a zablokujesz jednego nadużywającego wywołującego bez wymiany klucza. Zablokowany identyfikator zwraca HTTP 403 z end_user_blocked. Zobacz identyfikację użytkownika końcowego.

Nasza publiczna dokumentacja nie obiecuje zwrotów za użycie wykonane wyciekłym kluczem. Jeśli uważasz, że klucz PoYo został użyty niewłaściwie, unieważnij go i skontaktuj się ze wsparciem (support@poyo.ai).

---

Q5. Klient AI powinien wiedzieć, kiedy nie ponawiać prób — a ponowienia przy wideo mogą po cichu podwoić rachunek.

Na co skarżą się programiści: Ponowienia pomagają przy awariach tymczasowych, ale nie są uniwersalnym rozwiązaniem. Gdy żądanie jest błędnie sformułowane, poświadczenie jest nieprawidłowe albo model jest niedostępny dla konta, powtarzanie tego samego wywołania tylko zwiększa obciążenie. W API wideo ten sam motyw wraca jako „kliknij ponów, a możesz utworzyć drugie płatne zadanie”.

Jak odpowiada PoYo: Dopasuj błąd do działania według kodów błędów:

• 402 insufficient_credits_error → doładuj kredyty. Nie ponawiaj.
• 429 rate_limit_error → poczekaj lub kolejkuj.
• 500 / 502 / 503 → wykładniczy backoff.
• 401 → popraw klucz; ponawianie z tym samym błędnym poświadczeniem nie pomoże (Getting Started).

Getting Started ostrzega też: traktuj każde ponowne wysłanie jako potencjalnie nową płatną pracę; zanim wyślesz żądanie ponownie, sprawdź, czy oryginalne utworzyło zadanie. W przypadku mediów llms.txt i strona główna podają, że nieudane zadania nie są naliczane, a rozliczenie następuje za każdy udany wynik, według cennika danego modelu. Zamiast agresywnego odpytywania o status wybieraj callback_url / webhooki, żeby nie mnożyć obciążenia w trakcie oczekiwania (przegląd API).

---

Q6. Ceny API wciąż wydają się szalenie wysokie w porównaniu z subskrypcją, a aktualnego salda nie widzę, zanim agent je wypali.

Na co skarżą się programiści: Jedna odpowiedź ujęła to wprost: subskrypcje wydają się dotowane, za to ceny API OpenAI i Anthropic są „szalenie wysokie”. Inne wpisy z tego samego okresu pytały, czy ludzie w ogóle wiedzą, ile kosztuje pojedynczy prompt wieloagentowy według stawek API, i przypominały, że liczniki subskrypcji ChatGPT / Codex oraz liczniki API nie komunikują się ze sobą.

Jak odpowiada PoYo: Do tej skargi pasują trzy udokumentowane elementy:

1. Kredyty opłacane z góry, bez licznika subskrypcji. Strona główna opisuje cennik oparty na kredytach, z jednorazowymi zakupami, bez cyklicznych subskrypcji i z kredytami, które nigdy nie wygasają. Płacisz za udane generowania; nieudane zadania nie są naliczane (llms.txt).
2. Jeden klucz, jedno saldo. Czat i media korzystają z jednego konta PoYo. Odpytaj GET /api/user/balance o credits_amount (saldo użytkownika).
3. Opublikowane ceny poszczególnych modeli. Aktualne ceny znajdziesz na stronie każdego modelu / pod https://poyo.ai/models/<id>/llms.txt oraz w indeksie katalogu (llms.txt) — sprawdź je, zanim wyślesz płatne zadanie; nie zgaduj kwot w dolarach z pamięci. Historia zadań (opisana w Getting Started) pozwala po fakcie sprawdzić model, dane wejściowe i status.

---

Q7. Moja „funkcja serwerowa” / bot na Telegramie może wywołać każdy, a klucz leży tam, gdzie znajdzie go curl.

Na co skarżą się programiści: Wciąż pojawiały się praktyczne wpisy o bezpieczeństwie: ogranicz klucze API i ustaw dzienny limit; nie wklejaj kluczy dostawców do interfejsów czatu ani agentów na Telegramie; klucz w wywoływalnej funkcji serwerowej, bez limitu na użytkownika i pułapu wydatków, to karta kredytowa dla każdego, kto znajdzie adres URL.

Jak odpowiada PoYo: Getting Started mówi wprost: nigdy nie umieszczaj klucza API w kodzie frontendu (przeglądarka, aplikacje mobilne, publiczne repozytoria). Traktuj klucz jak sekret, trzymaj go na serwerze i korzystaj z mechanizmów, które już opisano dla kluczy produkcyjnych:

• Lista dozwolonych adresów IP oraz godzinne / dzienne / łączne limity dla każdego klucza na stronie kluczy API.
• Wymagaj X-End-User-ID, a potem blokuj nadużywającego wywołującego przez HTTP 403 end_user_blocked, bez wymiany całego klucza (identyfikacja użytkownika końcowego).
• Przed wdrożeniem na produkcję jawnie obsłuż 401, 402 i 429 (Getting Started, kody błędów).

---

Krótka mapa