xhr 以外エラーにする場合の HTTP status code を何にすべきか悩んだので、会社のメンバーに相談したところ、

厳密に言うとヘッダー構文エラーということになると思うので、400 じゃない？

という回答を頂きました。

xhr のみ許可する場合で、それ以外でRequestが来た場合は 400 で返すようにしたいと思います。

---

参考情報

・[Studying HTTP] HTTP Status Code