Bonjour Sylvain,
Les deux solutions son jouables à mon sens. Disons que si tu ne veux pas que les originales soient accessibles via le web, il vaut mieux les mettre en dehors du webroot.
Mais problème direct de cette méthode, la localisation de tes fichiers risque d'être un peu compliquée dans le script de traitement.
Ou sinon, jonglage de CHMOD ...
Bonne journée