ZB. in den dev tools von Chrome gibt es den Reiter "sources". Darüber kommt jeder Fremde in alle Verzichnisse. ZB.: "wp-content" dann "uploads"
Das was du da siehst, ist der Inhalt der jeweiligen Webseite. Das lässt sich nicht abschalten, ohne die Webseite oder Teile davon abzuschalten.
Mit einer leeren "index.html" oder "Options -Indexes" in der ".htaccess" funktioniert es nicht.
Logisch.
Im Browser werden die Ressourcen angezeigt, die bereits von der Webseite geladen wurden, also schon lokal im Browser vorhanden sind.