.htaccess папки backup

[jk3]

По-умолчанию не блокируется загрузка через браузер .gz/.bz2 файлов из этой папки.

Это специально оставлена такая дырка, что любой неавторизованный пользователь может скачать бэкап (подобрав имя файла, конечно)?

[zapimir]

С таким же успехом можно пароль угадать. Папка открыта для скачивания потому, что скачивать дампы можно из интерфейса дампера. Никто не мешает закрыть каталог бэкапа от доступа с веба, как и вообще весь каталога дампера только для определенных IP разрешить.