Además de los límites generales que ya se aplican a cualquier petición (por tenant, por usuario o por IP, según el caso), toda petición que incluya la cabecera X-API-Key recibe un cupo adicional propio de esa clave: por defecto, 120 peticiones por minuto. Superarlo devuelve 429 (apartado 12) hasta que el minuto siguiente libera cupo de nuevo.
Este cupo se aplica en cuanto la cabecera está presente, incluso si la clave resulta inválida o revocada — así una clave filtrada usada para probar valores al azar tampoco puede machacar el servidor sin límite.