Все POST-запросы к /webhooks/mailgun возвращают ошибку HTTP 422, а в логах сервера отображается ошибка ActionController::InvalidAuthenticityToken. Это было протестировано на новой установке без плагинов.
Я не думаю, что это как-то связано с тем, действителен ли ключ или нет (если только недействительный ключ по какой-то причине не вызывает ошибку CSRF).