おそらくURIが外部に晒されてないってだけでアクセス権が設定されてるわけじゃないのがつべの仕様なんだろう
ツベのガバ仕様を理解していなかった方が悪いって論理になっちゃうかな
アクセスにつどパスを要求されるもの以外はツベ側の責任は問えないだろうね