Avevo la soluzione sotto il naso:
http://www.html.it/pag/16893/evitare-il-download-diretto-di-file-dati-file-non-php/