Se quei file non devono essere accessibili direttamente ma solo tramite inclusione via codice, puoi semplicemente metterli in una directory fuori dalla document root del sito.