.htaccess funktioniert nur solange, bis ein Server fehlkonfiguriert ist und vielleicht die .htaccess nicht ausgewertet wird - kommt auch öfters mal vor.

Die Lösung, Dateien auszulagern in ein Verzeichnis außerhalb des Webserver-Rootverzeichnisses, auf das nur das Programm zugriff hat, ist das sicherste.