Obvyklou praxí je umístit je do samostatného souboru a ten umístit mimo webový kořen. Viz tuto odpověď pro podrobnosti.