Quello non si fa per la sicurezza, non viene mostrata l'URL perché quei siti fanno uso di qualche framework che passa i link in modo diverso.
Non ha nulla a che vedere con la sicurezza.

Se uno dovesse anche vedere l'indirizzo di una pagina ad accesso ristretto, se il login e l'accesso a tale pagina è fatto in modo corretto, non se ne farebbe nulla, non ci potrebbe accedere comunque.