CHECK
保守会社にWordPressの管理者IDをそのまま渡して大丈夫？
外部保守へ必要な権限を渡す場合も、普段の管理者IDを共有せず、担当者用の個別アカウントを必要期間・必要権限だけ発行します。
結論
普段使う管理者IDを共有せず、委託作業用の個別アカウントを発行してください。
共有IDでは操作主体が追いにくく、契約終了後も権限が残りやすいためです。
まず行うこと
作業者用アカウントを作り、必要権限だけ付け、終了後に無効化する運用へ切り替えてください。
詳しい解説
信用できる会社でも共有IDは避ける
委託先そのものを信頼していても、複数担当者で同じIDを共有すると、誰がいつ操作したか分かりにくくなり、担当変更後も資格情報が残りやすくなります。
個別アカウント・最小権限・期限を決める
作業者ごとにアカウントを発行し、必要な作業に合った権限へ絞ります。可能ならMFAを有効にし、作業完了日や契約終了日を決めて無効化します。
パスワードをチャットへ平文で貼らない
やむを得ず秘密情報を受け渡す場合も、通常のメールや共有チャットへ長期保存しない方法を選びます。契約終了時には関連するAPIキーやアクセス権も棚卸しします。