Os arquivos .inc, feitos exatamente para includes não são arquivos tão confiáveis. Isso acontece pelo fato de os servidores os interpretarem como arquivos texto ou os disponibilizarem para download.

Agora imagine a seguinte situação:
Você tem em todas as páginas de seu site um include para conexao.inc(com permissões padrão) que é o arquivo que contém as linhas de conexão e seleção, por exemplo, de um banco de dados MySQL.

O arquivo conexao.inc(nome bem sugestivo para um hacker, não?) tem o seguinte conteúdo:

<?php
$conn = mysql_connect('localhost','seusite','senhadobanco');
$sel = mysql_select_db('seusite');
?>

A princípio nada mal com o arquivo. Ele é um arquivo PHP e será interpretado corretamente quando incluído. Aí que está o X da questão.

Suponhamos que este arquivo não seja incluído e alguém descubra que ele está no endereço http://seusite/conexao.inc.
Será que você já sabe o que acontece se a pessoa digitar esta URL no browser? Claro, ela terá acesso a senha de seu banco, que, muito provavelmente, também é a senha de seu FTP.

Nada mal para alguém que sinta prazer em destruir as coisas dos outros. Esta pessoa terá tudo que quiser em mãos, desde dados de seus usuários, se você guardar isso, até o controle todo de seu site via FTP.

Na próxima página explicarei como se livrar deste peso na consciência.