Además de los límites generales que ya se aplican a cualquier petición (por tenant, por usuario o por IP, según el caso), **toda petición que incluya la cabecera `X-API-Key` recibe un cupo adicional propio de esa clave**: por defecto, **120 peticiones por minuto**. Superarlo devuelve **429** (apartado 12) hasta que el minuto siguiente libera cupo de nuevo. Este cupo se aplica en cuanto la cabecera está presente, incluso si la clave resulta inválida o revocada — así una clave filtrada usada para probar valores al azar tampoco puede machacar el servidor sin límite.