Toute requête POST vers /webhooks/mailgun renvoie un HTTP 422, et les journaux du serveur affichent une erreur ActionController::InvalidAuthenticityToken. Ceci a été testé sur une nouvelle installation sans plugins.
Je ne pense pas vraiment que cela ait quoi que ce soit à voir avec la validité de la clé (sauf si une clé invalide provoque une erreur csrf pour une raison quelconque).