Se BSON Object ID specifikation her og du vil vide, om det er sikkert for dig at bruge .
Hvis du forsøger at beskytte mod brugere, der sender forskellige URL'er fra scripts (fuskatorer), så ser det ud til, at det for mig har svag sikkerhed. Der vil ikke være for mange 'maskine', 'pid' delkombinationer. 'tid'-delen kan beregnes, hvis angriberen kan have en idé om, hvordan data blev indsat (især hvis du bruger batch). 'inc' - meget svag.
Jeg vil ikke stole på ObjectID'er som den eneste sikkerhed.
Bemærk venligst, at der ikke kan være et rigtigt svar på spørgsmålet "er det sikkert" generelt. Du skal selv bestemme.
PS. Men husk, at en sådan URL-baseret sikkerhed vil falde til støv, når brugere deler URL'er, de har besøgt. Selv bedst vil din kryptering ikke hjælpe.