Кэшируйте только ответы, которые предполагаемым посетителям разрешено использовать совместно. У публичного описания товара и страницы аккаунта вошедшего клиента разные требования.
Как возникает утечка
Представьте, что Alice запрашивает /account, а Nginx сохраняет её ответ под этим URL. Если Bob затем получает тот же кэшированный ответ, он видит данные Alice. Проблема в применении общего кэша к частному результату.
Начните с явно публичных маршрутов. Ключ кэша, определяющий сохранённый ответ, должен различать значимые варианты: хост, путь, параметры и язык.