Apache 2.4: アクセス拒否が効かない

      Require all denied

と書いても効かない場合、

    <RequireAll>
      Require all denied
    </RequireAll>

と書いてみてください。を省略した場合、とみなされて、 他の部分(例えば、BASIC認証のrequire valid-user)で満たされてしまうようです。