Как сделать подпапку недоступной, а файлы невозможно загрузить из корневого каталога с помощью htaccess?

Вы можете сделать следующее с mod_rewrite в верхней части корневого .htaccess файла, чтобы заблокировать (например, 403 Forbidden) любые запросы к /backups или /backups/<anything>. Например:

RewriteEngine On

# Block any HTTP requests to "/backups" subdirectory
RewriteRule ^backups($|/) - [F]

Обратите внимание, что при использовании в .htaccess URL-путь, которому затем соответствует RewriteRuleшаблон, не начинается с косой черты.

В качестве альтернативы используйте mod_authz_core внутри выражения Apache, чтобы настроить таргетинг только на подкаталог /backups. Например:

# Block any HTTP requests to "/backups" subdirectory
<If "%{REQUEST_URI} =~ m#^/backups($|/)#">
    Require all denied
</If>