2026-10-26: 7 жалоб на API, которые мы услышали сегодня

Жалобы, которые англоязычные разработчики публично разместили с 24 по 26 октября 2026 года. Ниже они пересказаны со ссылками на исходные посты. Каждый ответ использует только то, что публичный сайт и документация PoYo говорят сегодня, и ссылается на соответствующую страницу. Если документация чего-то не покрывает, мы так и пишем.

---

Q1. Ещё один SaaS взломали, и мои ключи API для ИИ ушли вместе с ним.

На что жалуются разработчики: Известный инцидент с SaaS оставил ключи API для ИИ, утечки которых оказались массовыми и которые использовали для мошеннического трафика. Отдельно сообщали об утечке ключа OpenAI API, связанной с Railway, а один разработчик получил письмо OpenAI об утёкшем ключе, который даже не был его. Ошибки на фронтенде усугубляют положение: ключи API, открытые в браузере, остаются частым изъяном.

Как отвечает PoYo: Сначала смените ключ. Утёкший секрет остаётся утёкшим секретом. Затем документация перечисляет средства, которые ограничивают, что может сделать украденный ключ PoYo:

• Список разрешённых IP. Можно разрешить использовать ключ только одобренным IP серверов. Ключ, скопированный из переменной окружения, не сработает с машины атакующего. См. страницу ключей API и Начало работы.
• Потолки использования на каждый ключ (почасовые, суточные и общие), чтобы у одного ключа был жёсткий потолок до того, как вы это заметите.
• Блокировка по конечному пользователю. Отправьте заголовок X-End-User-ID, и можно заблокировать одного злоупотребляющего вызывающего на ключе, не меняя сам ключ. Заблокированный ID возвращает HTTP 403 с end_user_blocked. См. Идентификацию конечного пользователя.

Публичная документация не обещает возврат за использование утёкшим ключом. Если вы считаете, что ключ PoYo использовали не по назначению, отзовите его и напишите в поддержку ([email protected]).

---

Q2. Когда поставщик модели выпускает приложение, с которым я конкурирую, первым сдаётся лимит частоты.

На что жалуются разработчики: Один разработчик сказал прямо: если поставщик API выпускает ещё и продукт, с которым вы конкурируете, первым сдаётся лимит частоты. Треды на Reddit задают тот же операционный вопрос: как люди справляются с лимитами частоты Claude API в продакшене и какие подходы работают для лимитов частоты поставщиков ИИ.

Как отвечает PoYo: Страница кодов ошибок даёт каждому статусу одно значение и одно рекомендуемое действие:

Начало работы публикует лимит генерации по умолчанию: до 20 новых запросов на генерацию за 10 секунд на аккаунт. Запросы сверх этого лимита получают HTTP 429 и не попадают в очередь. Модели чата и медиа используют один ключ PoYo и перечислены в llms.txt. Смена модели — это смена строки model, а не подключение нового поставщика. Если 429 идут постоянно, документация говорит, что можно написать в поддержку и запросить более высокий лимит. Одобрения обрабатывают осторожно.

Документация не описывает автоматическое переключение между провайдерами. Запасной путь стройте в клиенте. Начало работы также говорит, что «общая стабильность PoYo может быть немного ниже, чем у официальных провайдеров».

---

Q3. Мой «429» на самом деле был потолком расходов. Ошибки биллинга в одежде лимита частоты.

На что жалуются разработчики: Жёсткие потолки расходов OpenAI могут приходить как 429 с project_spend_limit_exceeded / organization_spend_limit_exceeded, и команды принимают остановку биллинга за троттлинг. На видео-API один разработчик отметил, что 402 означает недостаточно квоты, чтобы зарезервировать списание, а 409 — это случай идемпотентности. Другое напоминание было практическим: поставьте потолок расходов, чтобы цикл или незнакомец с curl выставляли вам счёт одинаково.

Как отвечает PoYo: PoYo ясно разделяет эти два случая в таблице кодов ошибок:

Сам биллинг — это предоплаченные кредиты. Главная говорит: разовые покупки без повторяющихся подписок, и кредиты не сгорают. Опрашивайте GET /api/user/balance, чтобы читать credits_amount, когда нужна живая цифра (баланс пользователя).

---

Q4. Не видно, какая модель съела бюджет между OpenAI, Anthropic и OpenRouter.

На что жалуются разработчики: Один разработчик спросил, разбивается ли всплеск расходов OpenRouter по моделям. Другие указали на инструменты вроде View Spend для OpenAI / Anthropic / xAI. Корпоративные слухи напомнили, что Replit перенёс более 100 млн долларов расходов на ИИ от Anthropic к OpenAI ради скидки. Поставщики разные, счета разные, слепое пятно одно.

Как отвечает PoYo: Три задокументированных пункта подходят к этой жалобе:

1. Один ключ, один баланс. Чат и медиа используют один аккаунт PoYo. Опрашивайте GET /api/user/balance, чтобы читать credits_amount (баланс пользователя).
2. Почасовые, суточные и общие потолки на каждый ключ на странице ключей API, чтобы один агент или одна среда не могли опустошить весь аккаунт (Начало работы).
3. История задач и опубликованные цены. Смотрите модель, входы и статус на поверхности истории задач, которую описывает Начало работы. Сравните цены чата и медиа на странице цен и читайте текущие цены по моделям из llms.txt или из llms.txt каждой модели.

---

Q5. Мою «серверную функцию» может вызвать кто угодно, а ключ лежит там, где его найдёт curl.

На что жалуются разработчики: Тот же пост о потолке расходов предупреждал, что серверной функции, которую может вызвать кто угодно, нужны лимит частоты на пользователя и потолок расходов. Другой пост был прямым: не кладите ключ OpenAI в шаблоны чата для браузера. И классика всё ещё верна: не кладите .env в GitHub.

Как отвечает PoYo: Начало работы говорит прямо: никогда не раскрывайте ключ API в коде фронтенда (браузер, мобильные приложения, публичные репозитории). Относитесь к ключу как к секрету, держите его на своём сервере и используйте уже описанные средства для производственных ключей:

• Список разрешённых IP и почасовые / суточные / общие потолки на каждый ключ на странице ключей API.
• Требуйте X-End-User-ID, затем блокируйте злоупотребляющего вызывающего ответом HTTP 403 end_user_blocked, не меняя весь ключ (Идентификация конечного пользователя).

---

Q6. Видео-API сжигают кредиты по секундам, а интерфейс расхода всё ещё похож на токены.

На что жалуются разработчики: Тарификация видео продолжает путать тех, кто вырос на счётчиках токенов. Более старые, но всё ещё цитируемые треды разбирают интерфейсы расхода API, которые не совпадают с тем, как тарифицируется видео и обновления расширения Sora API с путаным повторным списанием. Тема актуальна: видео возвращает 402, когда квоты не хватает, чтобы зарезервировать списание.

Как отвечает PoYo: Sora 2 Official и связанные видеомодели стоят в каталоге PoYo через llms.txt и страницу API видео с ИИ. Правила тарификации, которые публичные страницы действительно называют:

• Кредиты за успешный результат, цена по модели (llms.txt).
• Неудачные задачи не тарифицируются (главная и llms.txt).
• Текущие цены лежат на странице каждой модели и по адресу https://poyo.ai/ru/models/<model-id>/llms.txt. Проверьте их, прежде чем отправлять платную работу. Не выводите суммы по памяти.
• Генерация асинхронная: POST /api/generate/submit, затем опрос статуса или callback_url (Начало работы). Когда кредитов не хватает, вы получаете 402 insufficient_credits_error (коды ошибок).

---

Q7. Каждый, кто строит ботов, узнаёт: настоящий продакт-менеджер — это API. Лимиты частоты пишут дорожную карту.

На что жалуются разработчики: Один пост свёл это так: каждый, кто строит ботов, узнаёт, что API — настоящий продакт-менеджер; лимит частоты пишет дорожную карту. Стартапы с агентами продолжают надеяться, что API не ограничит частоту посреди демо. Другие открыто ищут переключение при 429 / 5xx.

Как отвечает PoYo: Генерация в PoYo устроена как асинхронная, поэтому длинные задачи не привязаны к одному тайм-ауту шлюза. Начало работы и обзор API говорят: отправьте задачу, сохраните task_id, затем опрашивайте статус или получите webhook. Для рабочих нагрузок документация предпочитает подписанные webhook частому опросу. При 429 подождите или поставьте в очередь (коды ошибок). Лимит по умолчанию остаётся 20 новых запросов / 10 с на аккаунт; превышение отклоняется и не ставится в очередь. Изображение, видео, музыка, чат и 3D стоят за одним единым ключом API (llms.txt, главная). Если нужны более высокие лимиты, напишите в поддержку. Одобрения обрабатывают осторожно.

Документация не описывает автоматическое переключение между провайдерами. Клиент должен обрабатывать 429 / 5xx и выбирать следующую модель или путь повтора.

---

Краткая карта