Por que uma senha de diretório do Apache não protege o proxy direto
Uma página de boas-vindas protegida e um pedido autorizado de proxy direto usam contextos de configuração diferentes. Coloque a política de proxy na configuração do servidor ou do host virtual.
O pedido de senha na página inicial do Apache protege apenas esse recurso local. Não estabelece que pedidos arbitrários de proxy direto exijam o mesmo início de sessão.
.htaccess aplica-se à configuração de diretório suportada; não é um filtro final para cada pedido. As secções ProxyRequests e <Proxy> pertencem à configuração do servidor ou do host virtual. Coloque a autorização do proxy direto lá, com a sintaxe de autorização do Apache 2.4 e a configuração de autenticação necessária.
Para um serviço privado, combine deliberadamente os requisitos previstos de origem de cliente e de conta. Depois examine o host virtual selecionado por cada ouvinte, incluindo os hosts predefinidos e a configuração herdada. Aceder a um nome de host protegido não estabelece que outro host ativo tenha as mesmas restrições de proxy.
ProxyPass desempenha outra função: normalmente mapeia um espaço de nomes local para um backend. Acrescentá-lo não autoriza destinos de encaminhamento arbitrários.
Se só pode editar os ficheiros de documentos de um site, poderá não ter o âmbito administrativo para estabelecer o limite de acesso deste serviço. Obtenha a alteração da configuração do servidor ou use um proxy existente aprovado; uma senha de diretório não a pode substituir.