.htaccess自体、ちゃんと動いてるのかな？
deny from all
とか書いてみて確認してみたら？