Павел
Тогда другой вопрос - сервер должен проверять на секьюрность Index.html?
в случае с SPA index.html обычно содержит ссылки на js + спиннер какой или скелет приложения. Для ускорения процесса авторизации "лучше" конечно сразу трекать что сессии у чувака нет (тут еще вопрос как у тебя это организовано и можно ли так делать вообще, например где ты токен сессии хранишь, в http only куках и кто ее выдает)
В случае НЕ spa вопрос тоже не должен стоять особо