Как в вордпрессе делают запрет на директории?

Скорее всего это делается в конфигах nginx или apache. Какой у тебя веб-сервер?

или по ftp? Там кстати есть по умолчанию ftp-доступ?

ну это надо смотреть, есть ли у тебя ftp доступ к серверу(скорее всего есть). Так что не давая свой логин и пароль злоумышленнику

apache

а в самом движке это вообще не конфигурируется? Или просто пинято это делать на сервере?

Ты я так понимаю шкворец копишь, в толксы пробиваешься? Дайте ему уже шкворца, а то он завалил технические разделы.

По сабжу. На первой же странице гугла

https://techbear.ru/redaktirovanie-fayla-htaccess-dlya-bezopasnosti-wordpress/

Я не особо работал с вордпресом, но по идее такое на уровне apache(в твоем случае) решается.

Выше тебе дали ссылку в которой как раз таки все это объясняется

Wordpress таким не занимается. Это всё решается на уровне прав файлов/директорий и/или веб-сервером(nginx, apache, etc.).

ftp - этим тоже Wordpress не занимается. Если настроен на сервере ftp, то будет ftp.

апачем никто давно не пользуется, если ты только не на шаред хостинге, в иных случаях хз зачем его ставить, а в нгинксе пути по которым китайцы пытаются хекнуть сайт закрыватются просто:

http {
  # ...
  server {
    # ...
    location ~ /\.ht {
      deny all;
    }

    # Через эту херню можно сайт завалить
    location /xmlrpc.php {
      deny all;
    }
  }
}