Das stimmt natürlich.
Der Zugriff auf das Webinterface muss aber zusätzlich als geschützt eingestellt werden.
Es ist durchaus möglich, ohne Passwortabfrage das Webinterface aufzurufen, obwohl es ein Passwort für den FTP-Zugang gibt. Man kann separat einstellen, ob der Zugriff auf das Webinterface passwortgeschützt sein soll oder nicht.