„De mi van a tmp mappával?”
Az is a privát filerendszerben van, tehát ugyan úgy elérhetetlen. Legalább is a szerveren.

„Ha a privát használat során valaki, aki jogosult elérni egy file-t megnézi az egyik pl. képet, akkor bekerül a gyorstárba annak a lekérése, nem? Ha igen, akkor onnan kinyerhető egy illetéktelen számára is egy file, nem?”

Az illető gépéről igen. Nem tudod kontrollálni, hogy mit csináljon a letöltött fájlokkal. Sőt, ha nem https kapcsolaton mész megfelelően hosszú kulccsal akkor meg feleslegesen beszélgetünk. Akkor kár görcsölni, minden lépés csak a vicc kategóriába tartozik, mert akkor szednek el tőled adatot amikor akarnak. Van már rá firefox addon, szóval a „de csak az egyszerű felhasználók ellen kell védelem” szöveg is értelmetlen most már szerencsére az ilyen beszélgetésekben.

„Egy gyors kérdés: kicsi a teszt telepítésem, ezért nem tudom lemérni, de egy nagyobb honlap esetén a privát mód lassítja a rendszert?”

Mivel át kell mennie minden fájlnak a PHP értelmezőn, ráadásul nem tudod azokat egy kisebb footprinttel rendelkező szerveren áthajtani ezért egyértelműen igen. A biztonság és a sebesség ugye... gondolj csak a motorra és a teherautóra.

„Bocs, még egy: szóba került a wget, ami http, https és ftp szerverekről tud egész könyvtárszerkezeteket letölteni (a file-okkal együtt).”

A wget csak azt tudja letölteni amit lát. Ha ftpn keresztül elérhető a szervered akkor megint nincs miért beszélgetnünk a biztonságról és fájlvédelemről. Hiába csinálsz ötven méter vastag falat, ha a kaput kitárva hagyod. Attól nem javul a biztonság, hogy még tíz métert vastagítod a falakat.

„Attól, hogy a gyökéren kívül tesszük a dolgokat, a wget miért ne találná meg?”
Mert nem látja azért. Ha tudsz rá adni url-t akkor vagy nem a gyökéren kívül van, vagy a webszervered van rosszul beállítva, vagy van valahol egy lyuk a rendszereden.

„Jó, oké, a domain az a gyökérre mutat és onnantól csak "feljebb" tölt le, tehát ha ismeri valahonnan azt a mappát, amibe rejtjük a dolgokat, akkor meg már úgyis mindegy...”

Picit fordított a gondolkodás itt. Mi a gyökér szónál a gyökér tövét értjük és a fájlrendszer az egész gyökérzet, mely a gyökér töve alatt helyezkedik el. Tehát van a fájlrendszer gyökér(tő) és a fájlrendszer gyökérzetében helyezkedik el valahol a webszerver gyökér(tő). A webszerver úgy tekint a webszerver gyökérre, mintha az lenne a mindenség kiindulópontja. Ha jól van beállítva a rendszered a webszerver nem lát ki innen. A PHP értelmező már igen. Van amikor úgy oldják meg, hogy a PHP értelmező se lásson ám ki akármeddig azt is bezárják egy kis játszótérre. De ez ugye messze vezet és nem Drupal kérdés már, hanem szerverüzemeltetés ami inkább a hup témaköre.

„És ha cPanelben beállítunk egy jelszót ahhoz a mappához? Vagy azt nem tudja kezelni a drupal, nem lehet valahol megadni neki a jelszót, belementeni?”
Mivel Te se és én se tudom mit is állít ilyenkor a cPanel nehéz erre választ adni. De gyanítom php-val simán ki lehet cselezni az ilyen jelszót. :)

pp