это безопасность (ограничение доступа к файлам в core)?
Да.
И я думал, файлы bootstrap-темы не являются серверными файлами (или являются?). И по идее их можно было кинуть в нашу директорию со скином на смарти.
файлы bootstrap-темы — да, не являются, и должны быть доступны извне. А вот Смарти-шаблоны и т.п. в папке core/, которая закрыта.