So man mit Verzeichnissen arbeitet ist das allerdings das einfachste. Bei mir wird aber alles aus der Webroot gezogen. So zumindest hat es den Anschein ;o)

Und auch hier kann man Updatescripts schützen.
Ich habe ein Script für eine ganz spezielle Person gemacht. Das Script funktioniert nur mit dem IE, da man dessen Header durch einen einfachen Registry-Eintrag verändern kann. Der hat nen Code drinnen stehen, den nur dieser IE haben kann.

Oder man startet solche Scripte nicht per GET, also über die Adresszeile, sondern per POST aus einem Formular. Das indiziert Google auch nicht.