Ещё одна мысль, которая мне только что пришла в голову: настройка сайта revoke api keys days. Поскольку такого пользователя не существует, мы никогда не обновляем дату последнего использования для этого ключа, и я почти уверен, что ключ был автоматически отозван? Хотя я всё ещё не понимаю, как вам вообще удалось сделать валидный запрос.