Консоль пробовали открывать? Там статика не может загрузиться, потому что ссылки на файлы ведут от корня сервера (/), а не относительно папки с билдом (/react-app/build), и вы получаете 404.
Решение: https://create-react-app.dev/docs/deployment#build...
В основном бандле (ну или манифесте) всё равно будут зашиты пути к чанкам, чтобы клиент знал, откуда их ему качать, когда понадобится. "Злоумышленник" точно так же может их найти.
Проблему надо решать с другой стороны: взаимодействие с непубличными эндпойнтами должно быть закрыто авторизацией или какими-то ключами доступа.
Ничего страшного в отставании от мастера нет. Если вам в фичеветке нужен свежий код из мастера и вы не хотите засорять историю мерж-коммитами, используйте git rebase.
Это называется Single Page Application и клиентский роутинг.
Вам нужно хранить состояние (какая доска сейчас открыта) в URL страницы. Чтобы программно изменять URL, используйте History API. Чтобы читать текущий URL, используйте интерфейс Location.
Попробуйте выполнять единственную сборку без сжатия и source maps, а затем прогонять нужные бандлы через standalone-версии минификаторов (то есть уже после окончания сборки, вне её). Например с помощью этого https://www.npmjs.com/package/webpack-shell-plugin