Mire la especificación de ID de objeto BSON aquí y sabrá si es seguro que lo use .
Si intenta protegerse de los usuarios que envían diferentes URL desde scripts (fuskators), me parece que tiene una seguridad débil. No habrá demasiadas combinaciones de partes 'máquina', 'pid'. La parte de 'tiempo' se puede calcular si el atacante puede tener una idea de cómo se insertaron los datos (especialmente si se usa por lotes). 'inc' - muy débil.
No confiaré en los ObjectID como la única seguridad.
Tenga en cuenta que no puede haber una respuesta correcta a la pregunta "¿es seguro?" en general. Debes decidirlo tú mismo.
PD. Pero tenga en cuenta que dicha seguridad basada en URL se desvanecerá cuando los usuarios compartan las URL que visitaron. Incluso mejor, su encriptación no ayudará.
