Para mi que estaría más correcto así:
Código PHP:
$file="/home/web/archivo.txt";
$filename = "otro_nombre_de_archivo.txt";
Header ( "Content-Type: application/octet-stream");
Header ( "Content-Length: ".filesize($file));
Header( "Content-Disposition: attachment; filename=$filename");
readfile($file);
$file es el archivo real, cuya ubicación puede estar incluso fuera del árbol de directorio web, esto es, fuera de htdocs, de manera que no es directamete alcanzable desde fuera.
$filename es el nombre que deseas que le aparezca al usuario, puede ser cualqiera que se te ocurra.
Los header le indican al navegador del usuario que lo que el servidor manda tiene por nombre $filename y le indica el tamaño de forma que el navegador pueda poner la barra de progreso de descarga.
readfile simplemente lee el archivo (el real) y lo escupe hacia el navegador.
El primer header entonces, indica alnavegador (creo) que es una archivo a descargar y no algo que presentar en la ventana.
El script donde colocarías este código tendría primero que revisar si se ha introducido la clave.
El usuario únicamente verá que se está descargando un archivo de nombre 'otro_nombre_de_archivo.txt' pero no podrá saber que el archivo original en realidad se llama 'archivo.txt' y- más importante -no sabrá su ubicación real.
// Saludos