Где рекомендуется хранить файл с паролями для директивы Auth?

Файл с паролями рекомендуется хранить вне директорий вашего сайта.
Рекомендуем вам для хранения паролей создать отдельную папку в корне вашей услуги.