2026-10-28: 7 reclamações de API que ouvimos hoje

Reclamações que desenvolvedores de língua inglesa publicaram entre 26 e 28 de outubro de 2026, resumidas aqui com links para as publicações originais. Cada resposta usa apenas o que o site público e a documentação da PoYo dizem hoje, e aponta a página de origem. Quando a documentação não cobre um ponto, dizemos isso.

---

Q1. O Claude Code bateu no muro de uso no meio de um refactor — e ainda não há um caminho limpo para «voltar à minha chave de API».

Do que os desenvolvedores reclamam: As linhas do tempo de 27 e 28 de outubro estavam cheias de capturas lado a lado dos limites de uso do Claude Code e do Codex. Quem constrói perguntou se o Claude Code pode voltar a uma chave de API quando os limites da assinatura acabam (@irl_danB), brincou que bater num limite no meio de um refactor é o novo «esqueci de salvar» (@automater_ai) e comparou faixas de 20 dólares que parecem inúteis numa pilha enquanto outra assinatura Plus nunca dispara (@mozdca, @LeoZhang57).

Como a PoYo responde: A PoYo são créditos pré-pagos, não uma janela de assinatura de 5 horas ou semanal. A página inicial descreve compras únicas de créditos, sem assinaturas recorrentes, e créditos que não expiram. Você paga pelas gerações bem-sucedidas. O llms.txt afirma que tarefas com falha não são cobradas. Chat e mídia compartilham uma chave de API e um saldo. Para um credits_amount ao vivo, consulte GET /api/user/balance (saldo do usuário).

Quando o saldo acaba, a PoYo devolve 402 insufficient_credits_error, não uma janela de uso móvel vestida de limitação (códigos de erro). Não há um recurso de produto documentado de troca «assinatura → chave de API», porque o faturamento já é por créditos. Coloque um teto num agente fora de controle com os limites de uso por chave, por hora, por dia e totais, na página de chaves de API (Primeiros passos).

---

Q2. O «429» do Claude Code são três mensagens diferentes — esperar para sempre só ajuda uma delas.

Do que os desenvolvedores reclamam: Um fio de diagnóstico apontou que o Claude Code pode mostrar três falhas com cara de 429: esperar um reset, tentar de novo daqui a pouco ou conferir a chave de API. Cada uma pede uma correção diferente (@aiparabellum). À parte, quem constrói perguntou se os problemas de limite de taxa nas ferramentas de agente da Anthropic já tinham sido corrigidos (@XavierDelon, @GeorgeMathew_).

Como a PoYo responde: Nossos códigos de erro mantêm faturamento e limites de taxa em números diferentes:

A vazão padrão de geração está documentada como até 20 solicitações novas a cada 10 segundos por conta. O excesso recebe HTTP 429 e não entra na fila (Primeiros passos). A solução de problemas de integração também diz: respeite Retry-After nos limites de taxa e não tente de novo às cegas um envio pago até saber se um task_id foi criado (solução de problemas).

A documentação descreve que não há failover automático entre provedores de origem. Construa isso no seu cliente.

---

Q3. Qualquer chave de API que colei no chat do agente ainda está nos logs do projeto.

Do que os desenvolvedores reclamam: Depois de um fio sobre os logs de projeto do Claude, uma resposta foi direto ao risco: qualquer chave de API que você tenha colado no chat também está nesses logs. Procure sk- em ~/.claude/projects e rotacione o que aparecer (@wazX_7). Posts próximos repetiam a mesma higiene: trate chaves de IA como credenciais de root (@RuntimeAI_io) e pare de dar a cada agente uma chave compartilhada sem interruptor de corte (@RohanBhanotAI).

Como a PoYo responde: Primeiros passos é direto: nunca exponha sua chave de API em código de frontend, apps móveis ou repositórios públicos, e trate-a como um segredo. Mantenha as chaves no seu servidor. Depois de uma colagem ou de um vazamento suspeito:

1. Revogue / rotacione a chave na página de chaves de API.
2. Lista de IPs permitidos, para que uma chave copiada só funcione a partir de IPs de servidor aprovados.
3. Tetos por chave, por hora / por dia / totais, para que um vazamento tenha um teto.
4. Envie X-End-User-ID na geração e no chat nativo. Bloqueie um chamador abusivo com HTTP 403 end_user_blocked sem rotacionar a chave inteira (Identificação do usuário final).

Nossos documentos públicos não prometem reembolso pelo uso feito com uma chave vazada. Escreva para [email protected] se acreditar que uma chave da PoYo foi usada de forma indevida.

---

Q4. Minha chave de agregador esquecida ainda é uma carteira de agente — uma invasão no host transformou credenciais ociosas num trabalho de 500 passos.

Do que os desenvolvedores reclamam: Um post avisou que uma chave esquecida da OpenRouter ainda é uma carteira de agente: uma invasão no estilo da Railway colocou chaves ociosas numa lista de revogação, e uma já tinha pago um trabalho de agente de 500 passos enquanto os painéis mostravam tráfego zero até então. O ajuste apontado: tetos de gasto, chaves de vida curta e nenhum token de provedor em hosts que você parou de observar (@neiro_go_neiro). Outra resposta ligou o mesmo padrão a provedores que ainda revogam chaves semanas depois das invasões (@Kenz_1604).

Como a PoYo responde: Chaves ociosas em hosts abandonados são um problema de segredo do lado do cliente. Os controles documentados da PoYo limitam o raio depois que o segredo existe:

• Crie chaves separadas por ambiente / harness, cada uma com tetos de uso por hora, por dia e totais (página de chaves de API, Primeiros passos).
• Ligue uma lista de IPs permitidos nas chaves de produção.
• Prefira X-End-User-ID, para poder bloquear um chamador sem apagar a chave (Identificação do usuário final).
• Acompanhe o saldo ao vivo com GET /api/user/balance (saldo do usuário) e o histórico de tarefas no painel (Primeiros passos).

Apague as chaves que você não usa mais. A documentação não descreve expiração automática de chaves sem uso nem um SLA de reembolso para gasto causado por invasão. Diga isso e rotacione.

---

Q5. Defini um limite duro de gasto com IA — depois alguém pegou a chave e passou dele numa noite.

Do que os desenvolvedores reclamam: Um desenvolvedor definiu um limite de fatura de IA de 25 dólares. Alguém obteve a chave de API e a levou a 55 dólares numa noite (@twentyonemilll). O tema combina com fios mais antigos da OpenRouter: desativar não bastou, e só a exclusão completa da chave parou o escoamento. A janela de 28 de outubro ainda produz a mesma reclamação: o teto existia, e o vazamento mesmo assim doeu.

Como a PoYo responde: Tetos só ajudam se forem aplicados na credencial comprometida, não só num orçamento frouxo do painel. Na PoYo:

• Coloque tetos de uso por chave, por hora / por dia / totais, em cada chave de produção (Primeiros passos, página de chaves de API).
• Combine com uma lista de IPs permitidos, para que a chave falhe a partir da rede do atacante.
• Use X-End-User-ID mais bloqueio em apps multilocatário (Identificação do usuário final).
• No 402, pare: os créditos acabaram (códigos de erro). Consulte o saldo antes de lotes grandes (saldo do usuário).

Se uma chave pode ter saído, apague ou revogue. Não se limite a baixar um alerta frouxo. Os documentos públicos não afirmam reembolso pelo gasto de uma chave vazada.

---

Q6. Conseguir uma chave de API do Google é tão penoso que «usar um agregador» virou o padrão.

Do que os desenvolvedores reclamam: Um desenvolvedor disse que só vai testar modelos do Google se o cadastro da chave de API for consertado. Até lá, só OpenRouter (@sandipb). Posts próximos continuaram a tratar agregadores como a carteira de pagamento e a troca de modelo dos agentes (@tomcritchlow), enquanto outros ainda equilibram uma dúzia de chaves de fornecedor só para testar (@sunwei57247249).

Como a PoYo responde: A PoYo é construída como uma chave unificada para imagem, vídeo, música, 3D e chat (llms.txt, página inicial). Crie uma chave na página de chaves de API. A mídia usa o POST /api/generate/submit assíncrono mais status ou webhook. O chat usa os endpoints compatíveis com OpenAI, Claude Messages ou nativos do Gemini, conforme a documentação de cada modelo. Trocar de modelo é mudar a string model (e a forma de endpoint correspondente no chat), não um novo cadastro de fornecedor.

Os esquemas de entrada e os preços atuais estão em https://poyo.ai/models/<id>/llms.txt e no índice do catálogo (llms.txt). A documentação não afirma que a PoYo seja uma passagem da conta oficial de cada laboratório. Ela também diz que a estabilidade geral pode ser um pouco menor que a dos provedores oficiais (Primeiros passos). Escolha esse compromisso de propósito.

---

Q7. Uma assinatura de vídeo de 59 dólares é a entrada cara se eu só publico alguns clipes — e novas tentativas podem inventar uma segunda fatura.

Do que os desenvolvedores reclamam: Quem cria comparou planos mensais de ferramentas de vídeo com APIs de pagamento por clipe. Se você só faz alguns vídeos de IA por mês, um plano de 59 dólares pode ser o caminho caro, enquanto uma API cobra por clipe e agentes de código podem conduzi-la (@aliteqai). Dor de API relacionada: downloads de vídeo pronto liberados só depois da liquidação da cobrança (@MariaOnchainDev), e o medo permanente de que tentativas às cegas criem um segundo trabalho cobrado.

Como a PoYo responde: O vídeo na PoYo tem preço em créditos por saída bem-sucedida, modelo a modelo. O catálogo de vídeo está no llms.txt (Sora 2, Veo 3.1, Kling, Wan, Seedance, Hailuo e outros). O fluxo é a API assíncrona unificada: enviar, depois consultar o status ou definir callback_url (Primeiros passos, webhooks). A página inicial e o llms.txt afirmam que tarefas com falha não são cobradas.

Antes de insistir numa nova tentativa de um trabalho de vídeo lento: Primeiros passos avisa que cada novo envio pode ser trabalho pago novo. Confirme se a solicitação original já criou um task_id. Prefira webhooks a uma consulta agressiva. Em 402, 429 e 5xx, siga a tabela de códigos de erro. Não trate uma parada de créditos como um limite de taxa.

---

Mapa rápido