Cita: De todas formas, pretendía hacerlo sólo desde el web.config, porque en el servidor en el que finalmente se pondrá todo no tengo permisos para tocar nada del IIS.
De hecho tienen que estar los 2 configurados, tanto el IIS y el web.config, trata de buscar la manera de tener permisos para incluir el ISAPI y proteger tus archivos.
Si tienes mas dudas de como hacerlo me avisas...
Salu2