запрет на доступ к определенному url

location /en/safe {
 allow 10.0.0.4;
 allow 192.168.0.3;
 allow 127.0.0.0/24;
 deny all;
}

Или map

map $remote_addr $allow {
  default 0;

  10.0.0.4 1;
  192.168.0.3 1;
  127.0.0.0/24 1;
}

server {
 location /en/safe {
  if ($allow = 0) {
   return 403;
  }
 }
}

В первом варианте надо ещё добавить проброс запросов на бэкэнд, ведь это не запросы к статике

уже пробовал, но выдает 404. not found..

location / {

index index.php index.html;

try_files $uri $uri/ /index.php?$args; if (!-e $request_filename){ rewrite ^/(.*)$ /index.php?url=$1 last; } }

Это неправильный подход. Лучше сменить safe на «ohT2ceiy6oi8LeTaeGh3inee8ORix7ekooZahZiCiezieroone1Ga1E» например. Поставить пароль на директорию и https force для урла.

Security through obscurity в действии. Хотя идея с паролем вполне осмысленна.

все решилось путем добавления реврайта в локейшн /en/safe