2018-07-03 Apache 2.4: アクセス拒否が効かない Require all denied と書いても効かない場合、 <RequireAll> Require all denied </RequireAll> と書いてみてください。を省略した場合、とみなされて、 他の部分(例えば、BASIC認証のrequire valid-user)で満たされてしまうようです。