Да, закрывать служебные файлы — это must. Если оставить config.php или .env на виду, то любой желающий без проблем скачается с конфигами и пойдёт ковыряться в базе. Даже простая настройка .htaccess или перенос файлов конфигов за корень уже сильно снижает риски. И не забывайте про логи — бывает, там тоже куча полезной для взлома инфы. Лучше вообще лишнее в публичной папке не держать.