Valeu Marcos. A conexão com o Firebase é pública mesmo, a restrição é feita pelas regras de acesso dentro da tabela do Firebase, em que somente os usuários logados e donos dos dados podem fazer o CRUD.