O Apache se confundiu com muitos pedidos de senhas de lugares diferentes.
Usando apenas este código:
<Directory "/var/www/html/folder/">
AuthUserFile /home/user/.htpasswd
AuthName "Pass"
AuthType Basic
require user username
</Directory>
Em 000-default.conf resolveu o problema.
Eu achei que todos os arquivos .conf precisavam de suas próprias instruções de senha. Eles não fazem.