100 запросов в минуту на ключ, заголовки X-RateLimit-Limit, X-RateLimit-Remaining и X-RateLimit-Reset в каждом ответе; при превышении 429 с Retry-After.
Лимит
Каждый ключ может делать 100 запросов в минуту к внешнему API, счёт ведётся по минутным окнам. Каждый ответ содержит заголовки X-RateLimit-Limit (потолок), X-RateLimit-Remaining (сколько ещё помещается в окно) и X-RateLimit-Reset (когда окно обнулится, в секундах Unix).
При превышении потолка ответ 429 с заголовком Retry-After, где указано, через сколько секунд повторить попытку, и та же информация дублируется в теле для клиентов, не читающих заголовки.
Как не выходить за лимит
Следите за X-RateLimit-Remaining и замедляйтесь, когда значение становится низким. При больших первоначальных загрузках (добавление сотен сотрудников) растягивайте вызовы по времени или разбивайте их на пакеты по минутам. Постраничные запросы считаются как один запрос на страницу.
Scope
Scope имеют формат ресурс:действие и действуют на уровне эндпоинта: employees:read для списка и чтения сотрудников, employees:write для создания и обновления, payroll:read для периодов и расчётов, payroll:write для открытия периода, расчёта, утверждения и отметки о выплате, отделы и должности на чтение и запись, timeclock:read и timeclock:write для отметок времени и reports:read для отчётов. Ключ без нужного scope получает 403, а удалять данные через API не позволяет ни один scope.