Эта конечная точка в данный момент действительно недоступна для вызовов через API. При передаче API-ключей для неё вы попадаете на перенаправление здесь:
А без API-ключей вызвать её нельзя, так как этот маршрут защищён от CSRF с помощью :verify_authenticity_token.