Как дать доступ к хостингу подрядчику?

Отдавать пароль от основного аккаунта хостинга не нужно почти никогда. У большинства российских провайдеров, включая Timeweb, Beget и Рег.ру, в панели есть создание отдельного FTP-пользователя или суб-аккаунта, привязанного только к папке одного сайта. Остальные домены, база данных и биллинг для такого пользователя остаются недоступны.

Ищите в панели раздел с названием вроде «FTP-аккаунты» или «Доступы». Там создаётся новый пользователь: указывается корневая папка (только нужный сайт), логин и отдельный пароль, который не совпадает с паролем от вашей учётной записи. Ровно тот же принцип для базы данных: если подрядчику нужен доступ к MySQL, создайте отдельного пользователя с правами только на одну базу, а не root-доступ ко всем базам сразу.

После завершения работ доступ лучше не просто заблокировать сменой пароля, а полностью удалить временную учётную запись — так меньше шансов, что она случайно останется активной и о ней забудут через полгода. Если тариф совсем простой и такого разделения панель не предлагает (изредка бывает на бюджетном шаринге), тогда хотя бы сразу после сдачи работ смените главный пароль хостинга.

Полезная привычка — вести короткий список, кому и когда выдавался доступ и когда он закрыт. При проверке безопасности сайта это экономит время: не приходится гадать, откуда взялась лишняя учётная запись.