Eu testei isso aqui e funciona para mim. Verifique se o arquivo .htaccess
está sendo lido para cada diretório; talvez ative a autenticação no subdiretório temporariamente com um diferente AuthName
para que você possa verificar.
Aqui está minha configuração, caso você ache útil. O diretório com a autenticação ativada é authtest
; seu subdiretório noauth
tem a autenticação desativada.
$ /usr/sbin/apache2 -v
Server version: Apache/2.4.7 (Debian)
Server built: Jan 2 2014 01:47:52
$ cat /etc/apache2/conf-enabled/allow-htaccess-authtest.conf
<Directory /var/www/html/authtest>
AllowOverride AuthConfig
</Directory>
$ cat /var/www/html/authtest/.htaccess
AuthType Basic
AuthName "ahoy hoy"
AuthUserFile /home/fission/htpasswd
Require valid-user
$ cat /var/www/html/authtest/noauth/.htaccess
AuthType None
Require all granted
Essa sintaxe foi extraída diretamente de os documentos do Apache para mod_authn_core