Нормально ли, что файлы доступны неавторизованным пользователям по ссылке?
Саму ссылку вряд ли кто-то будет подбирать.

Есть другая проблема. Это доступ неавторизованных лиц к документам. Ссылка может утечь каким-либо образом, либо будет передана сотрудником через скомпрометированный канал связи. Может быть так, что сотрудник перешлет эту ссылку через свой аккаунт в соц.сети самому себе, но аккаунт позже взломается и документ утечет.

Поэтому есть по крайней мере 2 пути решения:

1. Доступ к документу после авторизации (пользователь логинится в своем личном кабинете и уже имеет доступ к доступным для него файлам)

2. Доступ по "длинной" ссылке с ограничением по времени (это уже на самом деле костыли, но много где используется. В том же s3 можно получить временную ссылку. Она может иметь подвязку по ip и еще чему угодно)

Скажите, нормальная ли это практика - держать подобные файлы доступными по ссылке? Вообще не нормальная, но как сказали выше, если эти документы ничего не дают злоумышленнику или не представляют какой -либо ценности, то в целом не сильно неважно. Но если там есть важные данные, то хотя бы сделайте авторизацию.