パイロットから本番への API レート制限：prepaid を燃やさないバックオフ

429 は送信 API を通るまで叩く招待ではない。Prepaid ではリトライ嵐はウォレット事象だ。重複 OTP、積み上がる警報、合わない台帳行。制限はプロダクト・エンジニアリング・財務が一つの天井を共有するためにある。パイロットから本番は「上限を外す」ではない。契約制限、冪等を守るバックオフ、分けたサンドボックスと本番キー、二度借方しない webhook リプレイ窓。冪等・再試行と資金 を見よ。

IOSOR は white-label prepaid。認証付き呼び出し、突き合わせできる借方、外ブランドのペイロードを流さない顧客安全エラー。live / in setup はリトライの激しさと独立——回廊が in setup ならクライアントがループしても Live にならない。月次 USD 1,000+ 付近でリトライ予算とキー切り替えが商業レビューに入る。同じランブックに サンドボックスから本番への切替 と Webhook署名とリプレイ窓。

制限は prepaid を守るものでありバグではない

制限は窓あたり何件の受理意図がウォレットに当たるかを縛る。ロードバランサの TCP 試行数ではない。窓（キー・口座・宛先クラス）、ステータスコード、Retry-After を文書化せよ。429 を「もっと強く」と読むクライアントは財務と競争する。制限拒否を成功借方の横に書き出せ。カタログ live でも公表天井で止まる。in setup は無制限サンドボックスではない。

二度目の借方なしのバックオフ：制限と冪等

冪等キーなしの指数バックオフは、揺れる網を二つの OTP にする。キーは業務意図ごとに一意であり TCP 試行ごとではなく、明確な TTL 内で同じ受理結果を返す。ユーザー再送は別の製品動作で独自の制限を持つ。低残高停止は効く。リトライは空ウォレットを突き抜けてはならない。

パイロット制限対本番制限

パイロットキーはよりきつく。低量、速い可視性、安い失敗。本番制限は実際に回す回廊向けに契約する。天井を上げるのは責任者付きの口座変更。負荷試験はサンドボックスキー。本番キーのソークは prepaid 燃焼。カタログ回廊が in setup の間は本番 QPS を約束するな。

キーと webhook リプレイは同じ切り替え

送信制限は、webhook 消費者が DLR を二重処理すれば救わない。切り替え：サンドボックストラフィックを凍結し、本番キーを発行し、webhook を本番消費者へ向け、署名を検証し、リプレイ窓を縛り、それから一つの実意図。02:00 の再コールバックは no-op であり二度目の借方ではない。秘密は分ける。チケットに貼るな。

危険信号

• 冪等キーなしの「200 までリトライ」
• 429 を柔らかい 200 として扱う
• 負荷試験の本番キー、または本番のサンドボックス webhook URL
• 週単位のリプレイ窓、または「パイロット用」の未署名コールバック
• 自動リトライ予算に混ぜたユーザー再送
• 上流の生コードを流す顧客向けエラー

IOSORで始める

上限ウィンドウを書け。キー、口座、宛先クラスごと。守る Retry-After も書く。429 を強制し、バックオフし、同じ Idempotency-Key で同じ意図を再送する。ledger は debit 一つだけ。天井を上げる前にサンドボックスキーを本番キーへ換えろ。

IOSORの要点

やる：429 を Retry-After 付きの休止とみなし、柔らかい成功と見るな。毎回のバックオフに元のキーを付け、prepaid が受理意図一つだけ見るようにする。

やるな：負荷試験キーで本番上限を上げること。キーなしで 200 まで叩き、財布を余分使用に見せること。