400 Bad Request — запрос синтаксически некорректный, невалидный JSON, отсутствуют обязательные поля. 422 Unprocessable Entity — синтаксис правильный, но семантически данные не проходят валидацию, например email не того формата или возраст отрицательный. На практике многие используют только 400 для обоих случаев, но 422 более точный для бизнес-валидации.