2026-10-26: 7 phàn nàn về API mà chúng tôi nghe hôm nay

Phàn nàn mà nhà phát triển nói tiếng Anh đăng công khai từ 24 đến 26 tháng 10 năm 2026, được tóm tắt ở đây kèm liên kết bài gốc. Mỗi câu trả lời chỉ dùng những gì trang công khai và tài liệu của PoYo nói hôm nay, và trỏ về trang nguồn. Khi tài liệu không đề cập một điểm, chúng tôi nói rõ.

---

Q1. Một SaaS nữa bị tấn công, và khóa API AI của tôi đi theo.

Nhà phát triển đang phàn nàn điều gì: Một sự cố SaaS đã biết để khóa API AI lộ hàng loạt và bị dùng cho lưu lượng gian lận. Riêng biệt, có báo cáo về rò rỉ khóa API OpenAI gắn với Railway, và một lập trình viên nhận thư của OpenAI về một khóa đã lộ mà thậm chí không phải của anh. Sai sót ở frontend làm tình hình tệ hơn: khóa API lộ trên trình duyệt vẫn là một lỗi phổ biến.

PoYo trả lời thế nào: Hãy xoay trước. Bí mật đã lộ vẫn là bí mật đã lộ. Sau đó, tài liệu nêu các kiểm soát giới hạn việc một khóa PoYo bị lấy cắp có thể làm:

• Danh sách IP cho phép. Bạn có thể chỉ cho IP máy chủ đã duyệt dùng một khóa. Khóa sao chép từ biến môi trường không chạy được từ máy của kẻ tấn công. Xem trang khóa API và Bắt đầu.
• Trần mức dùng theo khóa (theo giờ, theo ngày và tổng), để một khóa có trần cứng trước khi bạn nhận ra.
• Chặn theo người dùng cuối. Gửi header X-End-User-ID rồi bạn có thể chặn một bên gọi lạm dụng trên khóa mà không cần xoay khóa. ID bị chặn trả HTTP 403 với end_user_blocked. Xem Nhận dạng người dùng cuối.

Tài liệu công khai không hứa hoàn tiền cho mức dùng từ khóa đã lộ. Nếu bạn nghĩ một khóa PoYo bị dùng sai, hãy thu hồi và viết cho hỗ trợ ([email protected]).

---

Q2. Khi nhà cung cấp mô hình ra ứng dụng mà tôi cạnh tranh, thứ nhường trước là giới hạn tốc độ.

Nhà phát triển đang phàn nàn điều gì: Một người xây sản phẩm nói thẳng: nếu nhà cung cấp API cũng ra sản phẩm mà bạn cạnh tranh, thứ nhường trước là giới hạn tốc độ. Các chủ đề Reddit vẫn hỏi cùng một câu vận hành: người ta xử lý giới hạn tốc độ API Claude trong sản xuất thế nào và cách nào hiệu quả với giới hạn tốc độ của nhà cung cấp AI.

PoYo trả lời thế nào: Trang mã lỗi của chúng tôi gán cho mỗi trạng thái một nghĩa và một hành động được khuyến nghị:

Bắt đầu công bố hạn mức tạo mặc định: tối đa 20 yêu cầu tạo mới mỗi 10 giây, trên mỗi tài khoản. Yêu cầu vượt hạn mức nhận HTTP 429 và không vào hàng đợi. Mô hình chat và media dùng chung một khóa PoYo và được liệt kê trong llms.txt. Đổi mô hình là đổi chuỗi model, không phải làm thủ tục với một nhà cung cấp mới. Nếu 429 diễn ra liên tục, tài liệu nói bạn có thể viết cho hỗ trợ để xin hạn mức cao hơn. Việc duyệt được xử lý thận trọng.

Tài liệu không mô tả chuyển dự phòng tự động giữa các nhà cung cấp. Hãy xây dự phòng trong client. Bắt đầu cũng nói “độ ổn định tổng thể của PoYo có thể thấp hơn một chút so với nhà cung cấp chính thức”.

---

Q3. “429” của tôi thực ra là trần chi tiêu. Lỗi tính phí mặc áo giới hạn tốc độ.

Nhà phát triển đang phàn nàn điều gì: Trần chi tiêu cứng của OpenAI có thể hiện ra thành 429 với project_spend_limit_exceeded / organization_spend_limit_exceeded, nên đội ngũ coi một lần dừng tính phí như việc bóp lưu lượng. Với API video, một lập trình viên ghi nhận 402 nghĩa là không đủ hạn ngạch để giữ khoản phí, còn 409 là trường hợp lũy đẳng. Một lời nhắc khác thực tế hơn: đặt trần chi tiêu, để một vòng lặp hoặc một người lạ cầm curl đều tính phí bạn theo cùng một cách.

PoYo trả lời thế nào: PoYo tách hai trường hợp rõ ràng trong bảng mã lỗi:

Bản thân việc tính phí là tín dụng trả trước. Trang chủ nói: mua một lần, không đăng ký định kỳ, và tín dụng không hết hạn. Hỏi GET /api/user/balance để đọc credits_amount khi cần một con số đang sống (số dư người dùng).

---

Q4. Tôi không thấy mô hình nào đã ăn ngân sách giữa OpenAI, Anthropic và OpenRouter.

Nhà phát triển đang phàn nàn điều gì: Một lập trình viên hỏi một đợt chi tiêu tăng vọt trên OpenRouter có tách được theo mô hình không. Người khác chỉ tới công cụ như View Spend cho OpenAI / Anthropic / xAI. Tin doanh nghiệp nhắc rằng Replit chuyển hơn 100 triệu đô chi tiêu AI từ Anthropic sang OpenAI để lấy chiết khấu. Nhà cung cấp khác nhau, hóa đơn khác nhau, điểm mù thì giống nhau.

PoYo trả lời thế nào: Ba phần đã ghi trong tài liệu khớp với phàn nàn này:

1. Một khóa, một số dư. Chat và media dùng chung một tài khoản PoYo. Hỏi GET /api/user/balance để đọc credits_amount (số dư người dùng).
2. Trần theo giờ, theo ngày và tổng trên mỗi khóa, ở trang khóa API, để một agent hoặc một môi trường không rút sạch cả tài khoản (Bắt đầu).
3. Lịch sử tác vụ và giá đã công bố. Xem mô hình, đầu vào và trạng thái trên bề mặt lịch sử tác vụ mà Bắt đầu mô tả. So giá chat và media trên trang giá, và đọc giá hiện tại theo mô hình từ llms.txt hoặc llms.txt của từng mô hình.

---

Q5. “Hàm máy chủ” của tôi ai cũng gọi được, và khóa nằm ở chỗ curl tìm thấy.

Nhà phát triển đang phàn nàn điều gì: Cùng bài viết về trần chi tiêu cũng cảnh báo rằng một hàm máy chủ mà ai cũng gọi được cần giới hạn tốc độ theo người dùng và một trần chi tiêu. Bài khác nói thẳng: đừng đặt khóa OpenAI vào mẫu chat trên trình duyệt. Lời khuyên cũ vẫn đúng: không đưa .env lên GitHub.

PoYo trả lời thế nào: Bắt đầu nói rõ: không bao giờ để lộ khóa API trong mã frontend (trình duyệt, ứng dụng di động, kho công khai). Hãy coi khóa là bí mật, giữ nó trên máy chủ của bạn, và dùng các kiểm soát đã được ghi cho khóa sản xuất:

• Danh sách IP cho phép và trần theo giờ / theo ngày / tổng trên mỗi khóa, ở trang khóa API.
• Yêu cầu X-End-User-ID, rồi chặn bên gọi lạm dụng bằng HTTP 403 end_user_blocked mà không xoay cả khóa (Nhận dạng người dùng cuối).

---

Q6. API video đốt tín dụng theo giây, còn giao diện mức dùng vẫn trông như token.

Nhà phát triển đang phàn nàn điều gì: Cách tính phí video tiếp tục làm rối những người lớn lên với đồng hồ token. Các chủ đề cũ nhưng vẫn được dẫn gồm giao diện mức dùng API không khớp cách video được tính phí và bản cập nhật tiện ích API Sora với việc tính phí lại gây nhầm. Chủ đề vẫn đang diễn ra: video trả 402 khi không đủ hạn ngạch để giữ khoản phí.

PoYo trả lời thế nào: Sora 2 Official và các mô hình video liên quan nằm trong danh mục PoYo qua llms.txt và trang API video AI. Quy tắc tính phí mà các trang công khai thực sự nêu:

• Tín dụng cho mỗi đầu ra thành công, giá theo mô hình (llms.txt).
• Tác vụ thất bại không bị tính phí (trang chủ và llms.txt).
• Giá hiện tại nằm trên từng trang mô hình và tại https://poyo.ai/vi/models/<model-id>/llms.txt. Hãy kiểm tra trước khi gửi việc có phí. Đừng suy số tiền từ trí nhớ.
• Việc tạo là bất đồng bộ: POST /api/generate/submit, rồi hỏi trạng thái hoặc đặt callback_url (Bắt đầu). Khi tín dụng không đủ, bạn nhận 402 insufficient_credits_error (mã lỗi).

---

Q7. Ai xây bot cũng học được: API mới là quản lý sản phẩm thật. Giới hạn tốc độ đang viết lộ trình.

Nhà phát triển đang phàn nàn điều gì: Một bài tóm lại: ai xây bot cũng học được rằng API mới là quản lý sản phẩm thật; giới hạn tốc độ đang viết lộ trình. Các công ty khởi nghiệp làm agent vẫn mong API không giới hạn tốc độ giữa buổi demo. Người khác công khai tìm chuyển dự phòng khi 429 / 5xx.

PoYo trả lời thế nào: Việc tạo trên PoYo được thiết kế bất đồng bộ, nên việc dài không bị buộc vào một lần hết thời gian chờ của cổng. Bắt đầu và tổng quan API nói: gửi một tác vụ, lưu task_id, rồi hỏi trạng thái hoặc nhận webhook. Với tải sản xuất, tài liệu ưu tiên webhook có chữ ký hơn là hỏi thường xuyên. Với 429, hãy chờ hoặc xếp hàng (mã lỗi). Hạn mức tạo mặc định vẫn là 20 yêu cầu mới / 10 giây trên mỗi tài khoản; phần vượt bị từ chối và không vào hàng đợi. Ảnh, video, nhạc, chat và 3D nằm sau một khóa API thống nhất (llms.txt, trang chủ). Nếu cần hạn mức cao hơn, hãy liên hệ hỗ trợ. Việc duyệt được xử lý thận trọng.

Tài liệu không mô tả chuyển dự phòng tự động giữa các nhà cung cấp. Client của bạn phải xử lý 429 / 5xx và chọn mô hình kế tiếp hoặc đường thử lại.

---

Bảng tra nhanh