Como los archivos .htaccess no parecen estar activados, de que otra manera se podría proteger archivos para no ser leidos?

Lo de hacerlos pasar por *.php me parece una chapuza, además de que con directorios no funciona, (como se va a pedir a PHP que interprete un... directorio?).

Por eso, creo que no estaría nada mal poder tener una carpeta que no pueda ser leida desde el exterior (o desde scripts de otro sitio en miarroba, claro), pero que si se pueda acceder desde nuestros scripts.

No creo que sea muy complicado especificar al Apache que cada sitio tenga una carpeta privada en donde guardar archivos de contenido privado.