Grundsätzlich funktioniert der Verzeichnisschutz für Shopware 6 wie üblich:
Jedoch funktioniert dann der Admin Login nicht.
Eine Möglichkeit diesen wieder funktionsfähig zu machen, ist "/api" aus dem Schutz zu exkludieren.
Folgendes muss zusätzlich gesetzt werden:
SetEnvIf Request_URI /api noauth=1
<RequireAny>
Require env noauth
Require env REDIRECT_noauth
Require valid-user
</RequireAny>
Lösung kommt durch:
https://forum.shopware.com/discussion/comment/252256/#Comment_252256