---
title: API の外側
description: 公開されたフォーム境界と Meta Webhook。それぞれが何であり、なぜトークンを取らず、なぜどちらも構築対象のインターフェースではないのかを説明します。
---

トークンを伴わないリクエストに応答するエンドポイントが 2 群あります。どちらもこの API の一部ではありません。スコープを取らず、アクセストークンがあっても何も得られません。ここで説明するのは、トラフィック上で目にすることがあり、それが何であるかを知っておくべきだからです。

## フォーム境界

```
GET  /api/public/forms/{key}
POST /api/public/forms/{key}
GET  /embed.js
GET  /f/{key}/qr
```

これらは、ワークスペースが公開した自身のフォームを、その訪問者に提供します。フォームはセッションやトークン（訪問者は持ちません）ではなく、パス内のキー — ワークスペースが発行する推測不可能な値 — からワークスペースを解決します。

**すべての拒否が同一の `404` を返します。** 存在しないキー、未公開のフォーム、marketing モジュールが無効なワークスペース、いずれも `404` で、意図的に区別できません。キー空間を探索できないようにするためです。ここでの `404` を「そのフォームは存在しない」と読まないでください。

投稿はフォームが解決された後、そのフォーム自身の制限で区切られます。他の箇所に適用される 1 MB ではありません。またこれらのルートは CORS を自ら応答します。資格情報なし、フォームごとにです。このアプリケーションのオリジンではなく、ワークスペース自身のページから投稿されるためです。

これは上に構築するための API ではありません。プログラムから送信を作成したい場合は、トークンを使ってレコードのエンドポイントを利用してください。

## Meta Webhook

```
GET  /api/public/meta/webhook
POST /api/public/meta/webhook
```

`GET` は Meta の検証チャレンジに応答します。`POST` はリードの配信を受け取ります。

ワークスペースはパスやボディの内容ではなく、**署名**によって決まります。リクエストは `X-Hub-Signature-256` を持ち、これはボディの正確なバイト列に対する HMAC-SHA256 です。そしてリードが指名するページが、それを登録したワークスペースを識別します。署名が検証できないリクエストは拒否されます。

受信専用です。ここに呼び出すものはなく、クライアントからこれらのエンドポイントでできることもありません。

## これが意味すること

Taylorz CRM と連携するなら、上記の 2 群はあなたのインターフェースではありません。あなたのものは Bearer トークンを使う `/api/v1` で、[API リファレンス](/ja)に記述されています。リソースではなくツールが必要なら MCP です。