Proteger un directorio del acceso directo a URL

Como señala Fabio, es mejor mantener dichos archivos fuera de la raíz web. Pero aún PUEDES usar .htaccess para proteger los archivos. Estarán protegidos garantizados a menos que elimine accidentalmente el .htaccess o el administrador del sistema cambie la configuración principal (lo que a veces sucede).

Simplemente coloque un .htaccess en el directorio que desea proteger y coloque una sola línea en ese .htaccess:

deny from all