Gostaria de colocar uma questão… Você desenvolveu sua applet e colocou no ar, porém… para que o cliente possa acessá-la, o jar (ou os .class) deve estar em um diretório que o cliente tenha acesso (que não o WEB-INF)… sendo assim… ele poderia fazer o download dos class através da URL, descompilar e tals…
Tem como, através do próprio tomcat (?) não deixar o cliente efetuar o download do arquivo sem comprometer a execução da appet?