Да, это считается «вредным», в основном из-за конструктивных соображений разработчиков Django. Администратор вращается вокруг концепции «доверенных пользователей». Другими словами, если кто-то является сотрудником (тем самым имеет доступ к администратору), он, по-видимому, достаточно доверяет вам, чтобы не беспокоиться о нарушениях безопасности. По правде говоря, вы могли бы заблокировать их от частей, с которыми они не должны связываться (как вы сделали), но дело в том, что Django не дает никаких гарантий в этой области. Скорее всего, у вас не будет никаких проблем, но вы могли бы .
По иронии судьбы, я думаю, что провел больше времени в своей жизни, настраивая администратора Django, чем потребовалось бы мне, чтобы создать его с нуля. Забавно, как это происходит. Несмотря на это, я бы сравнил это с использованием скаффолдинга в Ruby on Rails. Это быстрый способ получить что-то живое, но цель состоит в том, чтобы заменить это как можно скорее.