Faz isso .A configuração de segurança do htaccess realmente funciona?

Não. Isso não impede ataques de força bruta. Em um ataque de força bruta, um invasor tem controle sobre todos os parâmetros da solicitação HTTP. ... (Quase) todas as ferramentas de força bruta permitirão a definição de um referenciador, e definir o próprio site como referenciador é bastante padrão.