Вы можете сделать фасад доступным в webroot, который просто передает все входные данные в CFC за пределами webroot и возвращает результаты.
Таким образом, все, что видно через прямой вызов cfc в webroot, - это имена функций и переменных, а вся бизнес-логика не видна.