XRPCのエンドポイントについては、現在も認証が必要なものとそうでないものが混在している状況であるようですね。ただ、一般的にはcreateSession以外のエンドポイントは認証が必要であるとされています。今後はより明確な区分けがなされることが望まれます。