IIS Basic Authentication защищает только каталоги, а не отдельные файлы?

Я очень надеюсь, что это не дубликат, но мне не удалось найти здесь ничего подобного.

Моя проблема: у меня есть подкаталог на сервере Windows (не уверен, 2008 R2 или 2012) с IIS 8.5, который я хочу защитить с помощью базовой проверки подлинности. Я поговорил с администратором сервера, и он активировал для меня базовую аутентификацию и добавил для меня пользователя Windows. Защита работает, но только для каталогов, а не для отдельных файлов.

Это приводит к странным ситуациям, например, "sub.domain.com/subsubdir/" доступен только с правильной комбинацией пользователя и пароля, но "sub.domain.com/subsubdir/index.php" открыт для всех, и я не могу понять почему. Я реализовал это в web.config следующим образом:

<location path="dir/subdir">  
    <system.web>
        <authorization>
            <allow users="authorizedUser"/>
            <deny users ="?" />    
        </authorization>
    </system.web>
</location>

Если поддомен указывает на «dir / subdir», то есть «sub.domain.com/subsubdir/» для доступа к подкаталогу.

Я попытался dir/subdir/ и dir/subdir/*, но оба приводят к ошибкам. Либо я использую неправильные ключевые слова, либо Google не знает о моей проблеме.

Я даже не уверен, что мне нужно это исправить со своей стороны (только доступ через FTP) или это какой-то параметр Windows, который должен изменить администратор. Кто-нибудь знает, что здесь происходит?

Изменить: я запутался с моими собственными подкаталогами и забыл уровень. Не уверен, что это актуально, но я все равно отредактировал его.