[binbald]

Beschreite für Erste den Weg über den nicht verlinkten Ordner und dann füge noch eine Passwortabfrage über Javascript ein. Das ist zwar sehr unsicher, aber auch mit Deinen Hausmittelchen zu machen (Bsp. siehe selfhtml)
Beides zusammen dürfte Dir schon mal manche ungebetenen Gäste vom Hals halten. Wenn Du's richtig machen willst, kommst Du z.B. um .htaccess nicht herum. Aber wie gesagt, da musst Du schauen, ob das Dein Server auch unterstützt.