Создаём и настраиваем собственную CDN

почитайте про JWT токены. Если nginx будет проверять срок действия и подпись JWT токена, то без наличия приватного ключа его будет не возможно подделать. При этом nginx не нужно никуда дополнительно стучаться (при условии, что нет необходимости на стороне CDN проверить не был ли токен отозван)