Reglas de Firestore cuando una base de datos se comparte entre múltiples instancias.

Imagina que hay una base de datos de Firestore que es utilizada tanto por 1: un cliente de front-end estático como por 2: un servidor de node.js.

Básicamente, solo se permite que un dominio y una dirección IP utilicen esa base de datos, lo cual funciona bastante bien.

La parte complicada es:

• queremos que el servidor de node.js pueda leer/escribir en toda la base de datos
• pero al cliente web solo se le debe permitir leer/escribir en la misma base de datos si un usuario está autenticado.

El problema es que con reglas no es posible agregar nuestra dirección IP a una lista blanca.

Entonces intentamos usar esto:

js
service cloud.firestore {
match /databases/{database}/documents {
match /{document=**} {
allow read, write: if request.auth != null;
}
}


Luego, el servidor de node.js puede usar signInAnonymously, mientras que el cliente de front-end necesita autenticar a un usuario antes de acceder a cualquier contenido.

Mi pregunta es:

¿Es signInAnonymously lo suficientemente seguro?
Dado que la autenticación anónima está habilitada, ¿sería posible que alguien haga signInAnonymously desde nuestro front-end?
¿Sería posible que alguien falsifique alguna cabecera y finja ser nuestro dominio solo para autenticarse como anónimo?

¿Cuál sería la mejor práctica en un caso como este?