Да, точно, если не закрыть эти служебные файлы, то реально могут просочиться пароли и прочие важные штуки. Я пару раз просто переносил конфиги выше корня сайта, и уже спокойней. Без лишних заморочек, главное чтоб браузер их не видел.