Queixas que programadores de língua inglesa publicaram abertamente entre 24 e 26 de outubro de 2026, parafraseadas abaixo com ligações para as publicações originais. Cada resposta usa apenas o que o site e a documentação públicos do PoYo dizem hoje, e indica a página de onde vem. Onde a documentação não cobre algo, dizemo-lo.
Q1. Mais um SaaS foi atacado — e as minhas chaves de API de IA foram com ele.
De que se queixam os programadores: Uma violação de segurança num SaaS muito conhecido deixou chaves de API de IA expostas em massa e usadas para tráfego fraudulento. Em separado, houve quem relatasse uma fuga de chave da API da OpenAI ligada à Railway, e um programador recebeu um e-mail da OpenAI sobre uma chave exposta que nem sequer era sua. Os erros no frontend agravam sempre a situação: chaves de API expostas no navegador continuam a ser uma falha comum.
Como o PoYo responde: Roda primeiro — um segredo exposto continua a ser um segredo exposto. Depois, a nossa documentação lista controlos que limitam o que uma chave do PoYo roubada pode fazer:
- Lista de IPs permitidos. Permite numa chave apenas os IPs dos teus servidores aprovados, para que uma chave copiada de uma variável de ambiente não funcione a partir da máquina do atacante. Vê a página de chaves de API e os Primeiros passos.
- Limites de utilização por chave (por hora, por dia e totais), para que cada chave tenha um teto firme antes de dares por isso.
- Bloqueio por utilizador final. Envia um cabeçalho
X-End-User-IDe podes bloquear um autor de pedidos abusivo numa chave sem a rodar. Um ID bloqueado devolve HTTP 403 comend_user_blocked. Vê Identificação do utilizador final.
A nossa documentação pública não promete reembolsos por utilização feita com uma chave exposta. Se achas que uma chave do PoYo foi utilizada indevidamente, revoga-a e contacta o suporte (support@poyo.ai).
Q2. Quando o meu fornecedor de modelos lança a app com que eu concorro, o meu limite de pedidos é a primeira coisa a ceder.
De que se queixam os programadores: Um criador foi direto: se o teu fornecedor de API também lança o produto com que competes, o limite de pedidos é a primeira coisa a ceder. Discussões no Reddit repetem a mesma pergunta operacional — como as pessoas lidam com os limites de pedidos da API do Claude em produção e que abordagens funcionam para os limites de pedidos dos fornecedores de IA.
Como o PoYo responde: A nossa página de códigos de erro dá a cada estado um significado e uma ação recomendada:
| Código | error.type | O que a documentação diz para fazer |
|---|---|---|
| 402 | insufficient_credits_error | Recarrega. Tentar novamente não ajuda. |
| 429 | rate_limit_error | Espera antes de tentares novamente, ou põe os pedidos em fila. |
| 500 / 502 / 503 | internal_error / upstream_error / service_error | Tenta novamente com backoff exponencial. |
Os Primeiros passos publicam o limite de geração predefinido: até 20 novos pedidos de geração por cada 10 segundos, por conta. Os pedidos acima desse limite recebem HTTP 429 e não entram na fila. Os modelos de chat e de media partilham uma só chave do PoYo e estão listados no llms.txt, por isso mudar de modelo é trocar uma string model — não é integrar um novo fornecedor. Se receberes 429 de forma consistente, a documentação diz que podes contactar o suporte para pedir um limite mais alto; as aprovações são tratadas com cautela.
A documentação não descreve nenhum failover automático entre fornecedores. Constrói o fallback no teu cliente. Os Primeiros passos dizem também que a “estabilidade global” do PoYo “pode ser ligeiramente inferior à dos fornecedores oficiais”.
Q3. O meu “429” era afinal um limite de gasto — erros de faturação disfarçados de limite de pedidos.
De que se queixam os programadores: Os limites rígidos de gasto da OpenAI podem surgir como 429 com project_spend_limit_exceeded / organization_spend_limit_exceeded, por isso as equipas tratam uma paragem de faturação como uma limitação de ritmo. Nas APIs de vídeo, um programador notou que o 402 significa que não há quota suficiente para reservar a cobrança, enquanto o 409 é o caso da idempotência. Outro lembrete foi prático: define um limite de gasto para que um ciclo — ou um desconhecido com curl — te cobre o mesmo, seja como for.
Como o PoYo responde: O PoYo separa claramente os dois casos na tabela de códigos de erro:
| Código | error.type | Significado |
|---|---|---|
| 402 | insufficient_credits_error | O saldo acabou. Recarrega — tentar novamente não ajuda. |
| 429 | rate_limit_error | Atingiste um limite de pedidos. Espera ou põe em fila. |
A faturação em si é por créditos pré-pagos: a página inicial diz compras pontuais, sem subscrições recorrentes, e os créditos nunca expiram. Faz polling de GET /api/user/balance para obter credits_amount quando precisares de um número em direto (saldo do utilizador).
Q4. Não consigo ver que modelo gastou o orçamento entre a OpenAI, a Anthropic e a OpenRouter.
De que se queixam os programadores: Um programador perguntou se um pico de gasto na OpenRouter se decompõe por modelo. Outros apontaram ferramentas como o View Spend para OpenAI / Anthropic / xAI, enquanto os mexericos do mundo empresarial lembravam que a Replit passou mais de $100M de gastos em IA da Anthropic para a OpenAI em troca de um desconto — fornecedores diferentes, faturas diferentes, o mesmo ponto cego.
Como o PoYo responde: Três elementos documentados respondem a esta queixa:
- Uma chave, um saldo. O chat e os media partilham uma única conta do PoYo. Faz polling de
GET /api/user/balancepara obtercredits_amount(saldo do utilizador). - Limites por hora, por dia e totais em cada chave, na página de chaves de API, para que um agent ou um ambiente não possa esgotar a conta inteira (Primeiros passos).
- Histórico de tarefas + preços publicados. Inspeciona o modelo, as entradas e o estado no histórico de tarefas descrito nos Primeiros passos. Compara os preços de chat e de media na página de preços e consulta os preços atuais por modelo no llms.txt ou no
llms.txtde cada modelo.
Q5. A minha “função de servidor” pode ser chamada por qualquer pessoa — e a chave está onde o curl a encontra.
De que se queixam os programadores: A mesma publicação sobre limites de gasto avisava também que uma função de servidor que qualquer pessoa pode chamar precisa de um limite de pedidos por utilizador e de um limite de gasto. Outra publicação foi direta: não ponhas uma chave da OpenAI em templates de chat no navegador. E o clássico continua a acertar: nada de .env no GitHub.
Como o PoYo responde: Os Primeiros passos são explícitos: nunca exponhas a tua chave de API em código de frontend (navegador, apps móveis, repositórios públicos). Trata a chave como um segredo, mantém-na no teu servidor e usa os controlos já documentados para chaves de produção:
- Lista de IPs permitidos e limites por hora / dia / totais por chave na página de chaves de API.
- Exigir
X-End-User-IDe depois bloquear um autor de pedidos abusivo com HTTP 403end_user_blockedsem rodar a chave inteira (Identificação do utilizador final).
Q6. As APIs de vídeo queimam créditos ao segundo — e a interface de utilização continua a parecer de tokens.
De que se queixam os programadores: A faturação de vídeo continua a confundir quem cresceu com contadores de tokens. Discussões mais antigas, mas ainda citadas, abordam interfaces de utilização da API que não correspondem à forma como o vídeo é faturado e atualizações da extensão da API do Sora com refaturação confusa. O tema é atual: 402 em vídeo quando não há quota suficiente para reservar a cobrança.
Como o PoYo responde: O Sora 2 Official (e os modelos de vídeo relacionados) estão no catálogo do PoYo através do llms.txt e da página API de vídeo com IA. As regras de faturação que as páginas públicas realmente indicam:
- Créditos por resultado bem-sucedido, com preço por modelo (llms.txt).
- As tarefas falhadas não são cobradas (página inicial + llms.txt).
- Os preços atuais estão em cada página de modelo /
https://poyo.ai/models/<model-id>/llms.txt— consulta-os antes de submeteres trabalho pago; não deduzas valores em dólares de memória. - A geração é assíncrona:
POST /api/generate/submite depois polling do estado ou definição decallback_url(Primeiros passos). Quando os créditos não chegam, recebes 402insufficient_credits_error(códigos de erro).
Q7. Todos os criadores de bots aprendem que a API é o verdadeiro gestor de produto — os limites de pedidos escrevem o roadmap.
De que se queixam os programadores: Uma publicação resumiu: todos os criadores de bots aprendem que a API é o verdadeiro gestor de produto; o limite de pedidos está a escrever o roadmap. As startups de agents continuam a rezar para que a API não imponha um limite a meio da demo. Outros procuram abertamente failover em 429 / 5xx.
Como o PoYo responde: A geração no PoYo foi pensada para ser assíncrona, para que os trabalhos longos não fiquem presos a um único timeout de gateway. Os Primeiros passos e a visão geral da API dizem: submete uma tarefa, guarda o task_id e depois faz polling do estado ou recebe um webhook. Para cargas de produção, a documentação prefere webhooks assinados a polling frequente. Em caso de 429, espera ou põe em fila (códigos de erro); o limite de geração predefinido continua a ser de 20 novos pedidos / 10 s por conta, com o excedente rejeitado e não posto em fila. Imagem, vídeo, música, chat e 3D ficam atrás de uma única chave de API unificada (llms.txt, página inicial). Se precisares de limites mais altos, contacta o suporte — as aprovações são tratadas com cautela.
A documentação não descreve nenhum failover automático entre fornecedores. O teu cliente tem de tratar os 429 / 5xx e escolher o modelo seguinte ou o caminho de nova tentativa.
Mapa rápido
| Queixa | Onde o PoYo a documenta |
|---|---|
| Fugas em massa de chaves de IA em SaaS | Página de chaves de API · Primeiros passos · X-End-User-ID |
| Concorrência com o fornecedor → limites de pedidos primeiro | Códigos de erro · Primeiros passos: limites de pedidos · llms.txt |
| Limites de gasto disfarçados de 429 | Códigos de erro: 402 vs 429 · Página inicial: créditos · API de saldo |
| Não ver que modelo gastou o orçamento | API de saldo · Limites das chaves de API · Preços · llms.txt |
| Chaves em funções de servidor / interfaces de chat | Primeiros passos: nunca expor a chave · Página de chaves de API · X-End-User-ID |
| Créditos de vídeo gastos / faturação de vídeo opaca | API de vídeo com IA · Sora 2 Official · llms.txt: falhadas não cobradas · Códigos de erro: 402 |
| Ciclos de agents / limites de pedidos como gestor de produto | Primeiros passos: assíncrono + 429 · Visão geral da API · Códigos de erro |