(Zugriffs-)Rechte für Apache-Vhost-user. Wieviel ist gut?

[RockingRolli]

[edit]Irgendwie is der Topicname nicht ganz getroffen[/edit]
Hi
Zur zeit setze ich zu Lernzwecken auf meinem lokalen FreeBSD host einen Apache Webserver auf. Installation und Konfiguration ist alles abgeschlossen. Alles was ich an Sicherheitsaspekten anhand von manuals und anderen Artikeln gefunden habe hab ich bedacht.
Der upload von Dateien wird per WebDAV über eine SSL Verbindung durchgeführt werden. WebDAV-Wurzelverzeichnis ist der htdocs/ Ordner.

Soll ich das Wurzelverzeichnis auf htdocs/ lassen oder is es kein höheres Sicherheitsrisiko das Wurzelverzeichnis eine Ebene höher zu setzen um den Usern ein leichteres auslesen der logs und evtl. editieren von noch hinzukommenden Dateien zu ermöglichen?
Andere Schreibzugriffsmethoden sind nicht geplant (kein ssh, ftp...)
Ist das mit WebDAV überhaupt möglich? Alle meine jetzigen Versuche sind gescheitert, aber hab noch nicht alles probiert.

Was wäre eine gute Konfigurationsmöglichkeit für die einzelnen V-Hosts? Ein PHP Script, dass jedem user ein Interface bietet ist da sicher nicht die beste Lösung, oder doch?

Was wäre ein guter Platz um die ssl-keys zu speichern und zu verwalten?

Ordnerstruktur

/www
----/dav
--------/DavLock
----/users
--------/.htusers.user1 #für dav-Zugriff
--------/.htusers.user2 #für dav-Zugriff
--------/user1
------------/htdocs
------------/log
----------------/access.log
----------------/error.log
----------------/ssl-access.log
----------------/ssl-error.log
--------/user2
------------/htdocs
------------/log
----------------/access.log
----------------/error.log
----------------/ssl-access.log
----------------/ssl-error.log

Die VHosts sind zur Zeit so angelegt

<VirtualHost *:80>
    ServerAdmin RockingRolli@web.de
    DocumentRoot /www/users/rockingrolli/htdocs
    ServerName rockingrolli.dyndns.org
    ServerAlias *.rockingrolli.dyndns.org
    ErrorLog /www/users/rockingrolli/log/error.log
    CustomLog /www/users/rockingrolli/log/access.log common

    <Directory /www/users/rockingrolli/htdocs>
        Options Indexes FollowSymLinks
        AllowOverride AuthConfig
        Order Allow,Deny
        Allow from All
    </Directory>
</VirtualHost>
<VirtualHost *:443>  #für webdav
    ServerAdmin RockingRolli@web.de
    DocumentRoot /www/users/rockingrolli/htdocs
    ServerName rockingrolli.dyndns.org
    ServerAlias *.rockingrolli.dyndns.org
    ErrorLog /www/users/rockingrolli/log/ssl-error.log
    CustomLog /www/users/rockingrolli/log/ssl-access.log common

     #SSL Options
    SSLEngine ON
    SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
    SSLCertificateFile /www/rockingrolli.dyndns.org.der.crt
    SSLCertificateKeyFile /www/rockingrolli.dyndns.org.key

    #<FilesMatch "\.(cgi|shtml|phtml|php)$">
    #    SSLOptions +StdEnvVars
    #</FilesMatch>
    <Directory /www/users/rockingrolli/htdocs>
        Options Indexes FollowSymLinks
        AllowOverride AuthConfig
        Order Allow,Deny
        Allow from All

        DAV On
        AuthType Basic
        AuthName "webdav"
        AuthUserFile "/www/users/rockingrolli/.htusers"
        require user Roland
    </Directory>
</VirtualHost>

Die PHP-Einstellungen für die VHosts sind noch nicht dabei.

Bin für jede Hilfe/Anregung dankbar