Закрывать служебные файлы — просто спасение. Они же уязвимость главная, если их оставлять открытыми. Пароли, настройки — всё как на ладони, и это прям приглашение для взлома. Лучше один раз настроить защиту на уровне сервера, чем потом лечить прорыв. Даже если ты не спец, простой запрет доступа к таким файлам сильно снижает риски.