Reclamações que desenvolvedores de língua inglesa publicaram entre 24 e 26 de outubro de 2026, resumidas aqui com links para as publicações originais. Cada resposta usa apenas o que o site público e a documentação da PoYo dizem hoje, e aponta a página de origem. Quando a documentação não cobre um ponto, dizemos isso.
Q1. Outro SaaS foi invadido, e minhas chaves de API de IA foram junto.
Do que os desenvolvedores reclamam: Um incidente conhecido de SaaS deixou chaves de API de IA vazadas em massa e usadas para tráfego fraudulento. À parte, houve o relato de um vazamento de chave da API da OpenAI ligado à Railway, e um desenvolvedor recebeu um e-mail da OpenAI sobre uma chave vazada que nem era dele. Erros de frontend pioram o quadro: chaves de API expostas no navegador continuam sendo uma falha comum.
Como a PoYo responde: Rotacione primeiro. Um segredo vazado continua sendo um segredo vazado. Depois disso, a documentação lista controles que limitam o que uma chave da PoYo roubada pode fazer:
- Lista de IPs permitidos. Você pode permitir que só os IPs de servidor aprovados usem uma chave. Uma chave copiada de uma variável de ambiente não funciona na máquina de quem atacou. Veja a página de chaves de API e Primeiros passos.
- Tetos de uso por chave (por hora, por dia e total), para que uma chave tenha um teto firme antes de você perceber.
- Bloqueio por usuário final. Envie o cabeçalho
X-End-User-IDe você pode bloquear um chamador abusivo em uma chave sem rotacioná-la. Um ID bloqueado devolve HTTP 403 comend_user_blocked. Veja Identificação do usuário final.
A documentação pública não promete reembolso pelo uso feito com uma chave vazada. Se você acha que uma chave da PoYo foi usada de forma indevida, revogue-a e escreva para o suporte ([email protected]).
Q2. Quando meu fornecedor de modelo lança o app com o qual eu compito, o limite de taxa é a primeira coisa que cede.
Do que os desenvolvedores reclamam: Um desenvolvedor foi direto: se o seu fornecedor de API também lança o produto com o qual você compete, o limite de taxa é a primeira coisa que cede. Os tópicos no Reddit continuam com a mesma pergunta operacional: como as pessoas lidam com os limites de taxa da API da Claude em produção e quais abordagens funcionam para os limites de taxa de fornecedores de IA.
Como a PoYo responde: Nossa página de códigos de erro dá a cada status um significado e uma ação recomendada:
| Código | error.type | O que a documentação manda fazer |
|---|---|---|
| 402 | insufficient_credits_error | Recarregue. Tentar de novo não resolve. |
| 429 | rate_limit_error | Espere antes de tentar de novo, ou coloque as solicitações em fila. |
| 500 / 502 / 503 | internal_error / upstream_error / service_error | Tente de novo com backoff exponencial. |
Primeiros passos publica o limite padrão de geração: até 20 solicitações novas de geração a cada 10 segundos, por conta. Solicitações acima disso recebem HTTP 429 e não entram na fila. Modelos de chat e de mídia compartilham uma chave da PoYo e estão em llms.txt. Trocar de modelo é mudar a string model, não integrar um fornecedor novo. Se os 429 forem constantes, a documentação diz que você pode escrever ao suporte para pedir um limite maior. As aprovações são tratadas com cautela.
A documentação não descreve failover automático entre provedores. Construa o fallback no cliente. Primeiros passos também diz que a “estabilidade geral da PoYo pode ser um pouco menor que a dos provedores oficiais”.
Q3. Meu “429” era, na verdade, um teto de gasto. Erros de cobrança vestidos de limite de taxa.
Do que os desenvolvedores reclamam: Tetos rígidos de gasto da OpenAI podem aparecer como 429 com project_spend_limit_exceeded / organization_spend_limit_exceeded, e os times tratam uma parada de cobrança como um estrangulamento. Em APIs de vídeo, um desenvolvedor notou que 402 significa que não há cota suficiente para reservar a cobrança, enquanto 409 é o caso de idempotência. Outro lembrete foi prático: defina um teto de gasto, para que um laço ou um estranho com curl cobrem você do mesmo jeito.
Como a PoYo responde: A PoYo separa os dois casos com clareza na tabela de códigos de erro:
| Código | error.type | Significado |
|---|---|---|
| 402 | insufficient_credits_error | O saldo acabou. Recarregue. Tentar de novo não resolve. |
| 429 | rate_limit_error | Você atingiu um limite de taxa. Espere ou coloque em fila. |
A cobrança em si é de créditos pré-pagos. A página inicial diz: compras únicas, sem assinaturas recorrentes, e os créditos não expiram. Consulte GET /api/user/balance para ler credits_amount quando precisar de um número atual (saldo do usuário).
Q4. Não consigo ver qual modelo comeu o orçamento entre OpenAI, Anthropic e OpenRouter.
Do que os desenvolvedores reclamam: Um desenvolvedor perguntou se um pico de gasto na OpenRouter se decompõe por modelo. Outros apontaram ferramentas como View Spend para OpenAI / Anthropic / xAI. O rumor corporativo lembrou que a Replit moveu mais de US$ 100 milhões de gasto de IA da Anthropic para a OpenAI em troca de um desconto. Fornecedores diferentes, faturas diferentes, o mesmo ponto cego.
Como a PoYo responde: Três pontos documentados cabem nesta reclamação:
- Uma chave, um saldo. Chat e mídia compartilham uma conta da PoYo. Consulte
GET /api/user/balancepara lercredits_amount(saldo do usuário). - Tetos por hora, por dia e totais em cada chave, na página de chaves de API, para que um agente ou um ambiente não esvazie a conta inteira (Primeiros passos).
- Histórico de tarefas e preços publicados. Confira modelo, entradas e status na superfície de histórico de tarefas descrita em Primeiros passos. Compare preços de chat e de mídia na página de preços e leia os preços atuais por modelo em llms.txt ou no
llms.txtde cada modelo.
Q5. Minha “função de servidor” pode ser chamada por qualquer um, e a chave fica onde o curl encontra.
Do que os desenvolvedores reclamam: O mesmo post sobre teto de gasto também avisou que uma função de servidor chamável por qualquer um precisa de um limite de taxa por usuário e de um teto de gasto. Outro post foi direto: não coloque uma chave da OpenAI em modelos de chat do navegador. E o clássico continua valendo: nada de .env no GitHub.
Como a PoYo responde: Primeiros passos é explícito: nunca exponha sua chave de API em código de frontend (navegador, apps móveis, repositórios públicos). Trate a chave como um segredo, mantenha-a no seu servidor e use os controles já documentados para chaves de produção:
- Lista de IPs permitidos e tetos por hora / por dia / totais em cada chave, na página de chaves de API.
- Exija
X-End-User-IDe bloqueie um chamador abusivo com HTTP 403end_user_blocked, sem rotacionar a chave inteira (Identificação do usuário final).
Q6. APIs de vídeo queimam créditos por segundo, e a interface de uso ainda parece de tokens.
Do que os desenvolvedores reclamam: A cobrança de vídeo continua confundindo quem cresceu com medidores de token. Tópicos mais antigos, mas ainda citados, cobrem interfaces de uso de API que não batem com a cobrança de vídeo e atualizações da extensão da API da Sora com recobrança confusa. O tema é atual: o vídeo devolve 402 quando não há cota suficiente para reservar a cobrança.
Como a PoYo responde: Sora 2 Official e os modelos de vídeo relacionados ficam no catálogo da PoYo por meio de llms.txt e da página da API de vídeo com IA. Regras de cobrança que as páginas públicas de fato enunciam:
- Créditos por saída bem-sucedida, com preço por modelo (llms.txt).
- Tarefas com falha não são cobradas (página inicial e llms.txt).
- Os preços atuais ficam em cada página de modelo e em
https://poyo.ai/pt-BR/models/<model-id>/llms.txt. Confira antes de enviar trabalho pago. Não infira valores de memória. - A geração é assíncrona:
POST /api/generate/submit, depois consulte o status ou definacallback_url(Primeiros passos). Quando os créditos não bastam, você recebe 402insufficient_credits_error(códigos de erro).
Q7. Quem constrói bots aprende que a API é o verdadeiro gerente de produto. Os limites de taxa escrevem o roadmap.
Do que os desenvolvedores reclamam: Um post resumiu: quem constrói bots aprende que a API é o verdadeiro gerente de produto; o limite de taxa está escrevendo o roadmap. Startups de agentes continuam torcendo para a API não limitar a taxa no meio da demo. Outros procuram abertamente failover em 429 / 5xx.
Como a PoYo responde: A geração na PoYo foi desenhada para ser assíncrona, então trabalhos longos não ficam presos a um único tempo esgotado de gateway. Primeiros passos e a visão geral da API dizem: envie uma tarefa, guarde o task_id e depois consulte o status ou receba um webhook. Para cargas de produção, a documentação prefere webhooks assinados a consultas frequentes. Em 429, espere ou coloque em fila (códigos de erro). O limite padrão continua sendo 20 solicitações novas / 10 s por conta; o excedente é rejeitado e não entra na fila. Imagem, vídeo, música, chat e 3D ficam atrás de uma chave de API unificada (llms.txt, página inicial). Se precisar de limites maiores, fale com o suporte. As aprovações são tratadas com cautela.
A documentação não descreve failover automático entre provedores. Seu cliente precisa tratar 429 / 5xx e escolher o próximo modelo ou o caminho de nova tentativa.
Mapa rápido
| Reclamação | Onde a PoYo documenta |
|---|---|
| Vazamento massivo em SaaS / chaves de IA | Página de chaves de API · Primeiros passos · X-End-User-ID |
| Competir com o fornecedor, o limite cede primeiro | Códigos de erro · Primeiros passos: limites de taxa · llms.txt |
| Tetos de gasto disfarçados de 429 | Códigos de erro: 402 e 429 · Página inicial: créditos · API de saldo |
| Não dá para ver qual modelo comeu o orçamento | API de saldo · Tetos de chave de API · Preços · llms.txt |
| Chaves em funções de servidor / interfaces de chat | Primeiros passos: não exponha a chave · Página de chaves de API · X-End-User-ID |
| O vídeo queima créditos / cobrança opaca | API de vídeo com IA · Sora 2 Official · llms.txt: falha não é cobrada · Códigos de erro: 402 |
| Laços de agentes / limites de taxa como PM | Primeiros passos: assíncrono e 429 · Visão geral da API · Códigos de erro |