La opcion que tu mismo haz dado tambien es valida, otra opcion es cambiarle el nombre de las carpetas y luego editar en el config.php tambien los nombres. Asi como forobeta
El .htaccess obligatoriamente si debe ir dentro de las carpetas que quieres proteger con contraseña. Los .htpassw los colocas donde quieras. Recomendado hacerlo fuera del alcance del público.