<Files ~ ".+">
Order allow,deny
Deny from all
Satisfy All
</Files>
in questo modo ci puoi accedere solo da script, quindi nemmeno un loggato riesce a scaricarli direttamente se non passa da php