похоже на то что, мы на яндексе базу замажем, а то что она видна на гугле, ну это пофиг.
ну то есть смысла скрывать стандартные тайлы я не вижу никакого
не, там в другом смысл. Мы тайл-сервер дёргаем через свой софт, в нём конечный клиент авторизуется по двухфакторке, всё как положено. Также в проекте есть 3rd-party сервис - тайл-сервер OSM. И обращение к нему идёт с клиентской стороны. Соответственно, нам с одной стороны, надо отдавать авторизованному клиенту тайлы для отображения на карте, с другой, мы не можем просто опубликовать тайл-сервер во внешний мир - иб заругает. Так что в веб-приложении при запросе геоданных добавляется токен, с ним запрос летит через nginx, там сверяется, валиден ли токен, и если да, то клиенту отдаются тайлы. А то, что он увидит свой токен в гет-запросе - пофиг, он уже авторизован в системе