nicht angemeldet
Nein, eher nicht. „Kein Script angeben“ bedeutet vermutlich Zugriff auf eine nicht existente Ressource. Das ist ein Fall für einen 404 oder 410 - aber kein Grund, an der (HTTP-)Syntax der Anfrage herum zu mäkeln, was der 400 täte.
Das kommt darauf an - wenn "Kunde" selbst am Link herumspielt und anstatt index.php?script=meintollesscript einfach mal index.php?script=irgendeinscript aufruft, obwohl in der API-Dokumentation klar steht dass es "meintollesscript" und "ganzeinanderesscript" gibt, dann ist das klar ein Syntaxfehler und selbstvertändlich mit einem 4xx zu behandeln.
Ob das nun ein 400 oder 404 ist, ist eine Einzelfallentscheidung - ein 410 wäre sinnvoll, wenn die Methode/das Script in einer alten Version der API existiert hat und entfernt wurde.