como "lain" apontou o material de controle de Auth / Access do apache 2.4 mudou desde 2.2. Então eu precisei modificá-lo da seguinte forma:
AuthType Basic
AuthName 'Authentication required'
AuthUserFile /var/www/vhosts/pwd/.htpasswd
# Allow access to excluded diretories
SetEnvIf Request_URI /shop/api noauth=1
<RequireAny>
Require env noauth
Require env REDIRECT_noauth
Require valid-user
</RequireAny>
Além disso, tive que adicionar "Require env REDIRECT_noauth" porque o php está usando o redirecionamento de soem e isso mantém a variável env "noauth" set