D.h. der User klickt auf der Seite backups.php auf den Link und darf nur dann die Datei herunterladen.
Das geht nicht. Da ein Klick in der Wirkung gleichbedeutend ist, wie wenn du die URL einfach in der Adresszeile eintippst.

Eine Lösung kann ich dir dennoch geben:

* Fange an indem du dieses Tutorial liest.
[coderwiki]HowTos/PHP-Dateidownload[/coderwiki]

* Den Ordner "geheim" sperrst du mit .htaccess für ALLE.
* Alle Links von backups.php gehen nicht auf geheim/datei.zip sondern auf download.php?e=datei.zip
* Dann legst du eine Datei download.php an. Dort musst du eben die Authentifizierung machen, $_GET['e'] auswerten und dann auslesen

Geht sehrwohl über HTTP_REFERER. Beinhaltet den Wert der letzten angesurften Seite.

Aber: unsicher und funktioniert nur, wenn der Browser auch wirklich diese Information sendet - auf jeden Fall ist d0nUt's Methode besser.