Как защитить файл настройки сайта?
Перенести уровнем выше DOCUMENT_ROOT.
В документ руте в нормальном режиме должны быть один единственный index.php и всякая (уже скомпилированная) статика вроде css, js и картинок. Всё остальное уровнем выше.
В каталоге с файлом создать файл .htaccess в котором прописать deny from all
после чего все файлы станут недоступны для каких либо действий если к нему обратится по его адресу
На сервере должна быть включена поддержка .htaccess