2026-10-29: 7 skarg na API, które usłyszeliśmy dziś

Skargi, które anglojęzyczni programiści opublikowali między 27 a 29 października 2026, streszczone poniżej własnymi słowami, z linkami do oryginalnych wpisów. Każda odpowiedź opiera się wyłącznie na tym, co dziś mówią publiczna strona i dokumentacja PoYo, i prowadzi do strony, z której pochodzi. Tam, gdzie dokumentacja czegoś nie obejmuje, mówimy o tym wprost.

---

Q1. Moje miesięczne kredyty API z ChatGPT Pro / Business wygasają niewykorzystane — a w niektórych regionach w ogóle nie da się ich odebrać.

Na co skarżą się programiści: Gdy OpenAI przedstawiło cenę Pro jako zwracaną w formie kredytów API, twórcy od razu zaczęli pytać, ile z tej puli przepada z końcem cyklu. We wpisach zauważano, że kredyty nie są dodatkowym użyciem produktów ChatGPT / Codex i że niewykorzystane saldo wygasa (@jayzhoupro, @velcue_07, @_jayyy18_13k), zastanawiano się na głos, ile kredytów pozostaje niewykorzystanych (@mohamedsenator) i zwrócono uwagę na użytkowników Pro z Europy, którzy nie mogli odebrać kredytów w rozliczeniach (@ZindanTech).

Jak odpowiada PoYo: PoYo to kredyty opłacane z góry, a nie miesięczne uprawnienie, które się resetuje. Strona główna mówi o cenniku opartym na kredytach, braku subskrypcji i tym, że kredyty nigdy nie wygasają. Płacisz tylko za udane generowania; llms.txt i strona główna podają, że nieudane zadania nie są naliczane. Jedno saldo obejmuje cały katalog — odpytaj GET /api/user/balance o aktualne credits_amount (saldo użytkownika). Gdy saldo się wyczerpie, PoYo zwraca 402 insufficient_credits_error (kody błędów), a nie kalendarzowe okno „wykorzystaj albo strać”. Odbieranie promocyjnych kredytów innego dostawcy z ograniczeniami regionalnymi wykracza poza produkt PoYo; gdy potrzebujesz więcej kredytów, doładuj konto w dashboardzie.

---

Q2. Jeśli Chat, Work i Codex dzielą jedną pulę użycia, limit na kodowanie wyczerpie się pierwszy.

Na co skarżą się programiści: Te same wiadomości o kredytach API wywołały inną obawę: czy zwykły ruch w Chat / Work spali ten sam zasobnik co Codex? Twórcy pisali, że będą używać ChatGPT rzadziej, żeby nie wpływać na Codex (@setHacked), argumentowali, że pojedynczy limit użycia w stylu Anthropic odebrałby sens Pro u OpenAI (@macintoch), pytali, czy zwykły Chat pozostanie oddzielony od Work / Codex (@Paulkk144974), życzyli sobie, żeby połączona pula chat+work zostawiła Codex w spokoju (@raiden_fine), a także dyskutowali o sformułowaniu „przestaliśmy dwukrotnie pobierać opłaty od twórców” z ogłoszenia o kredytach (@Awais786Muhamd).

Jak odpowiada PoYo: PoYo nie sprzedaje puli subskrypcyjnej ChatGPT Pro / Codex, więc nie istnieje udokumentowany „połączony limit produktu”, który po cichu zjadałby zapas na kodowanie. Rozliczenie to jedno saldo kredytów dla obrazów, wideo, muzyki, 3D i czatu (strona główna, llms.txt). Jeśli chcesz izolacji, utwórz osobne klucze API dla każdego obciążenia i ustaw na każdym z nich godzinne / dzienne / łączne limity użycia (Getting Started, strona kluczy API). Przy wywołaniach wielodostępnych lub wieloagentowych na jednym kluczu wysyłaj X-End-User-ID i blokuj jednego nadużywającego wywołującego przez 403 end_user_blocked, nie wymieniając klucza wszystkim (identyfikacja użytkownika końcowego). Sprawdzaj wspólne saldo przez GET /api/user/balance (saldo użytkownika); przy 402 zatrzymaj się i doładuj kredyty (kody błędów).

---

Q3. Ściany limitów w Codex i agentach kodujących wróciły — tempo zużycia pochłonęło tydzień w kilka godzin.

Na co skarżą się programiści: Osie czasu agentów kodujących znów zapełniły się wpisami o ścianach limitów: planowanie tygodnia wokół kolejnego resetu limitu Codex (@GaryVSAISlop), relacje, że Sol 6.1 przez Codex CLI spalił limit około 3 razy szybciej w około 15 godzin (@AssistBDA), oraz brak nadziei na ulgę w postaci resetu z powodu wiadomości o kredytach API (@snowy_smile_).

Jak odpowiada PoYo: Czat w PoYo jest wyceniany w kredytach za każdy udany wynik, a nie kroczącym oknem resetu w stylu Codex (llms.txt, strona główna). Endpointy czatu są udokumentowane jako zgodne z OpenAI, Claude Messages lub natywne dla Gemini; wybierz ID modelu i sprawdź aktualny schemat tego modelu pod https://poyo.ai/models/<id>/llms.txt. Rozbieganego agenta kodującego ograniczysz godzinnymi / dziennymi / łącznymi limitami dla każdego klucza na stronie kluczy API (Getting Started). Domyślna przepustowość generowania to do 20 nowych żądań na 10 sekund na konto; nadwyżka zwraca 429 i nie trafia do kolejki (Getting Started). Respektuj Retry-After przy 429; nie ponawiaj na ślepo płatnych zgłoszeń, dopóki nie wiesz, czy task_id już istnieje (rozwiązywanie problemów). W dokumentacji nie ma mowy o automatycznym failover do innego laboratorium, gdy narzędzie kodujące dostawcy trafi na własną ścianę limitów — zaimplementuj go po stronie klienta, jeśli go potrzebujesz.

---

Q4. Usunięty z repozytorium klucz API po wypchnięciu zmian prawdopodobnie wciąż jest publiczny w historii gita.

Na co skarżą się programiści: Krótki wpis uderzył w klasyczny wyciek: klucz został usunięty z drzewa roboczego i wypchnięty, ale sekret prawie na pewno nadal jest osiągalny w historii gita (@patchnoteslabs).

Jak odpowiada PoYo: Getting Started mówi bez owijania w bawełnę: nigdy nie ujawniaj klucza API w kodzie frontendu, aplikacjach mobilnych ani publicznych repozytoriach i traktuj go jak sekret. Jeśli klucz PoYo mógł trafić do historii gita (lub gdziekolwiek indziej publicznie):

1. Unieważnij / wymień go na stronie kluczy API — usunięcie linijki kodu nie wystarczy.
2. Włącz listę dozwolonych adresów IP, żeby skopiowany klucz działał tylko z zatwierdzonych adresów IP serwerów.
3. Ustaw godzinne / dzienne / łączne limity dla każdego klucza, żeby wciąż krążący sekret miał swój pułap.
4. Wysyłaj X-End-User-ID przy generowaniu i w natywnym czacie, żeby móc zablokować jednego wywołującego przez 403 end_user_blocked bez wymiany klucza we wszystkich integracjach (identyfikacja użytkownika końcowego).

Publiczna dokumentacja nie obiecuje zwrotów za użycie wykonane wyciekłym kluczem. Jeśli uważasz, że klucz PoYo został użyty niewłaściwie, napisz na support@poyo.ai (Getting Started).

---

Q5. Narzędzie z moimi kluczami dostawców zostało zhakowane — nieaktywne poświadczenia sfinansowały cudzy rachunek.

Na co skarżą się programiści: Jeden wpis opisywał klucz API z nieaktywnego konta oraz lukę w ustawieniach dostawcy AI w Opik, która doprowadziła do przejęcia 29 kluczy OpenAI / Anthropic (@AgentFieldKit). Wzorzec jest znajomy: poświadczenia leżące w zewnętrznym interfejsie „ustawień AI” stają się portfelem atakującego w chwili, gdy ten host zawiedzie.

Jak odpowiada PoYo: Klucze przechowywane w ustawieniach innego produktu to problem sekretów po stronie klienta. Udokumentowane mechanizmy PoYo ograniczają zasięg szkód, gdy sekret już istnieje:

• Twórz osobne klucze dla każdego środowiska lub narzędzia uruchomieniowego, każdy z godzinnymi, dziennymi i łącznymi limitami użycia (strona kluczy API, Getting Started).
• Włącz listę dozwolonych adresów IP dla kluczy produkcyjnych.
• Używaj X-End-User-ID, żeby móc zablokować jednego wywołującego bez usuwania klucza (identyfikacja użytkownika końcowego).
• Obserwuj saldo na żywo przez GET /api/user/balance (saldo użytkownika); przy 402 zatrzymaj się (kody błędów).

Usuwaj klucze, których już nie używasz. Dokumentacja nie opisuje automatycznego wygasania nieużywanych kluczy ani SLA na zwrot za wydatki wynikające z włamania — mówimy o tym wprost: wymień klucze. Trzymaj klucze PoYo na swoim serwerze, a nie we frontendzie ani w zewnętrznym formularzu ustawień, którego już nie pilnujesz (Getting Started).

---

Q6. Mój agent działał 30 godzin — nic między kodem a API nie miało liczby, której by nie przekroczył.

Na co skarżą się programiści: Jeden twórca opisał 30-godzinne działanie agenta, w którym nic poza procesem nie egzekwowało twardego pułapu wydatków — twardy limit musi leżeć poza zadaniem (@asymmetricmind). Pobliskie wpisy promowały karty oceny nadzoru nad wydatkami dla agentów, które wpadają w pętle lub pobierają za dużo danych (@hacker_no_ice).

Jak odpowiada PoYo: Miękkie alerty wewnątrz agenta nie są budżetem. W PoYo umieść pułap na poświadczeniu i saldzie:

• Limity użycia dla każdego klucza (godzinne / dzienne / łączne) na każdym kluczu produkcyjnym (Getting Started, strona kluczy API).
• Połącz je z listą dozwolonych adresów IP dla kluczy używanych tylko na serwerze.
• Używaj X-End-User-ID i blokowania w aplikacjach wielodostępnych lub wieloagentowych (identyfikacja użytkownika końcowego).
• Odpytuj GET /api/user/balance przed dużymi batchami (saldo użytkownika); traktuj 402 jako twarde zatrzymanie, a nie sygnał do ponowienia (kody błędów).
• Przy długich zadaniach asynchronicznych wybieraj webhooki zamiast agresywnego odpytywania (webhooki); Getting Started ostrzega, że każde ponowne wysłanie może być nową płatną pracą — przed ponownym wysłaniem potwierdź task_id (rozwiązywanie problemów).

Dokumentacja nie twierdzi, że istnieje działający poza procesem produkt typu „wyłącznik awaryjny” wykraczający poza te limity kluczy, saldo i kody błędów — skonfiguruj orkiestrator tak, żeby zatrzymywał się przy 402 lub gdy klucz osiągnie limit.

---

Q7. Najtrudniejszy nie jest model, lecz osobne konta, klucze API i systemy rozliczeń dla każdego kreatywnego API.

Na co skarżą się programiści: Twórcy i programiści mówili, że najbardziej uciążliwe jest żonglowanie osobnymi kontami dostawców, kluczami i rozliczeniami (@CyberFree365). Inni przedstawiali marże jako problem rachunku za API i widzieli w otwartych modelach udostępnianych przez agregatory sposób na obniżenie kosztów (@RonaleK777) albo po prostu szukali taniego API LLM w dużej skali (@brice_garnier_).

Jak odpowiada PoYo: PoYo jest zbudowane wokół jednego jednolitego klucza dla obrazów, wideo, muzyki, 3D i czatu (llms.txt, strona główna). Klucz utworzysz na stronie kluczy API; media korzystają z asynchronicznego POST /api/generate/submit oraz statusu / webhooka; czat używa endpointów zgodnych z OpenAI, Claude Messages lub natywnych dla Gemini, zgodnie z dokumentacją każdego modelu. Zmiana modelu to inna wartość w polu model (i odpowiedni kształt endpointu dla czatu), a nie nowy proces wdrażania u kolejnego dostawcy. Aktualne schematy wejścia i ceny znajdziesz pod https://poyo.ai/models/<id>/llms.txt oraz w indeksie katalogu (llms.txt). Rozliczenie to kredyty opłacane z góry, które nigdy nie wygasają, naliczane za każdy udany wynik (strona główna).

Dokumentacja nie twierdzi, że PoYo jest przekaźnikiem do oficjalnego konta każdego laboratorium; Getting Started zaznacza też, że ogólna stabilność może być nieco niższa niż u oficjalnych dostawców. Wybierz ten kompromis świadomie.

---

Krótka mapa