Да, это ожидаемое поведение.
Если хотите иметь возможность подключения снаружи по MQTT - следует создать для этих целей пользователя и назначить ему права доступа.
Подробно описано в документации к брокеру, начать можно с обзорной статьи Mosquitto ACL -Configuring and Testing MQTT Topic Restrictions
Ну и анонимный доступ к mqtt вместе с паролем на web - смысла не имеет никакого.