Doktor_Gradus

Кэширование отключено? Кодировки файлов шаблонов совпадают?

Вот тогда вам ещё вопрос. Если делаете так:
switch( $_GET['pass'] ) { // ... }

нужно ли проверять $_GET['pass']?

Для того, чтобы запретить прямой доступ к файлам в apache есть команда Deny

Например, чтобы запретить доступ к какой либо папке (реально существующей) нужно в эту папку поместить .htaccess со строкой Deny from all

Но попытка достучаться до такой папки это уже «ошибка 403 — Доступ запрещён» и в общем .htaccess
уже надо писать
ErrorDocument 403 /error404.html

или

ErrorDocument 404 /index.php?error=404

или что угодно.

А свою 404-ую сделать тоже легко, в том же .htaccess пишете

ErrorDocument 404 /error404.html

или