La password la devi fare gestire solo ed esclusivamente al cliente.
Nel tuo database deve essere criptata in maniera che non possa essere decriptata.
Se il cliente la perde puoi sempre fornire un link di reset via email o SMS (a patto che siano già presenti nel tuo database) .
Una volta ricevuto il link l'utente imputa la nuova password.
P.s. sarebbe corretto che anche email e numero SMS siano criptati nel tuo database e spero lo faccia anche il tuo provider SMS ed email...
Oramai la privacy è importante... Gestisco db di siti dove non esiste nulla di non criptato e anche comprendere il sistema di chiavi richiede un bel po' di tempo...

Inviare la password in chiaro al cliente non è assolutamente sicuro.. poi vabbè se lui la salva su un foglio di Word sul desktop sono affari suoi.. ma tu dormi sonni tranquilli.

Aggiungo.. se vuoi maggior sicurezza potresti inviare il link via email ed una chiave per confermare il cambio password via SMS.. ma mi pare esagerato

Ciao @caygri-com

Io solitamente salvo le password in un Password Manager (1Password, Enpass, etc) e poi per passarle si possono utilizzare servizi come https://0bin.net/ che puoi anche installarti self-hosted

forse non mi sono spiegata...a parte le password d'accesso del sito coem mandate ad esempio le password dei server?
ftp? etc

@caygri-com ha detto in Come passare le password ai clienti in piena sicurezza?:

forse non mi sono spiegata...a parte le password d'accesso del sito coem mandate ad esempio le password dei server?
ftp? etc

Ok, allora è diverso perchè l'utente è più avanzato.

In generale, gli accessi non richiedono una password. Per esempio, per l'FTP, l'SSH, etc, si può usare l'autenticazione basata sulla chiave. Te lo consiglio: le password sono insicure per natura.
https://superuser.com/questions/333856/ftp-authentication-with-public-key

Potresti guardare come funziona GitHub per farti un'idea: ti registri via web, ma poi per usare git devi entrare nel tuo profilo e inserire le tue chiavi pubbliche.

Qualora tu debba inviare una password per forza, ti consiglio come spiegato prima di farlo via email criptata, e la password dovrebbe essere una one time password da cambiare al primo accesso. Quando dimentichi la password per un sito istituzionale (sia in Italia sia in UK), il recupero password usa questo sistema.

i miei clienti non sanno nemmeno cos'è git mi sa ce mi arrendo al famoso file excel via email e pace

Ok, dimentica git (era un esempio di servizio basato su chiavi ssl). Se sono stato chiaro, credo di averti risposto.

@caygri-com argh! la battuta è "se i clienti sono astemi di tecnologia perche mandare loro accessi ai server?"
in generale, su windows puoi usare questo: https://keepass.info/
crei tutte le credenziali che ti pare li dentro e lo proteggi con una passphrase. mandi il database criptato al cliente , se lo installa , se lo apre con la pasword che gli dici al telefono ( tanto per fare un esempio) e li dentro trova tutto quello che li serve
certo è che se il cliente nemmeno è capace di installare un programma e fare due click,.. argh.. stampi le credenziali su un foglio e gliele dai a mano. hhiih

il mio problema non è dove le salvo io ma come le passo!
il mio cliente più vicino geograficamente è a 400km!

Potresti magari usare un software di criptaggio.. inviare i contenuti criptati via email e magari usare un mezzo di comunicazione differente per la password del cript... https://www.axcrypt.net/pricing/

Sì ma si torna sempre alla necessità di criptare qualcosa senza usare un'altra password, quindi usando le chiavi. Quindi non è più semplice usare le mail criptate come suggerivo io?

Le password non dovrebbero essere condivise tra più persone. Se l'hosting non permette di creare più utenti per accedere alla dashboard, è un problema.

@webstuff se risolvi questo problema la tua soluzione è accettabile. Il cliente vede tutte le password in chiaro, ma per usarle ha bisogno di un'altra password. Non è molto diverso da usare un password manager.

Però a costo di ripetermi ti consiglio di verificare se puoi usare un'autenticazione basata sulle chiavi.

di norma, i miei clienti non sanno nemmeno quelle password a cosa servono

@caygri-com eh però cosi in pratica stai rischiando tu problemi legali/privacy/sicurezza per la mancanza di nozioni degli altri... cacchio ti prendi una bella responsabilità...

non che che hai tante possibilità per restare a norma, oltre quelle già descritte dagli altri,...o chiudi tutti e due gli occhi, o insegni ai clienti come lavorare col digitale ( ahahah si lo so lo so), oppure ti crei in qualche modo un sistema su misura che faccia al caso tuo, cosi su due piedi con php e mysql:

• crei un DB che memorizzi in modo crittografato tutte le credenziali del caso
• crei un pannello admin in cui tu puoi inserire nome cliente, tipologia, e credenziali, e crei un utente cliente
• alla creazione dell 'utente, come per wordpress, invi una mail al cliente con le istruzioni "clicca qui" perche lui stesso si possa creare la password (ovviamente crittografata e non inviata in chiaro)
• il cliente si collega al pannello con il suo utente e trova all'interno tutti i propri dati ecc
• crei il sistema in modo tale che non permetta password facili e che le resetti ogni 6 mesi

poi ovviamente andrebbe capito se un sistema del genere sia sicuro o meno, e qui esperti di sicurezza se mi danno conferme o meno sarebbe gradito. sempre su due piedi,... se il pannello non viene programmato bene suppongo che possa essere bucato in poco tempo... quindi quanto ne vale la pena?

però tutto questo si avvicina di piu a discorsi del tipo fare da hosting provider, piu che da "devo mandare delle password al cliente"... a voi la scelta

in alternativa..... mandi via mail link e username e via sms o al telefono la password. e preghi...

@caygri-com
Partendo dal presupposto che @shazarak ha ragione quando parla di rischi legali, e inoltre sarebbe meglio educare i clienti piuttosto che mettere a rischio la sicurezza del sito/prodotto, mi è venuta in mente una possibile soluzione:

Attraverso un sistema di remote control, tipo Team Viewer, accedi al computer dei clienti, inserisci le password tramite il loro browser e le salvi nel browser (o in un sistema di password manager).
In questo modo le password non vengono inviate, ma inserite da te nella loro macchina. Prima di uscire, suggerisci che è meglio reimpostarle.
(Io suggerisco ai miei clienti di introdurre un sistema di login a due fattori, per evitare che la password sia l'unica cosa che difenda il sito)

Per l'installazione di Team Viewer, puoi fare un file di istruzioni da inviare via mail, e al momento di connettersi, con una telefonata, ti passano i codici per la connessione.

Potrebbe funzionare?

qui non stiamo parlando delle password del sito ma di server e ftp dove i miei clienti non sanno nemmeno dove usarle!
ma per legge devono avere anche loro.

@caygri-com
Mi ero perso questo passaggio.

Io userei lo stesso sistema di remote desktop per scrivergliere su un loro file locale.
Io faccio così con i miei clienti: preparo un file in cui ci sono le password di tutti gli account, server, ftp database etc, e poi glielo faccio avere quando termina il progetto, per esempio tramite Team Viewer (riscrivendo le credenziali).
Loro non se ne fanno nulla, ma se un domani qualcuno gliele chiedesse (un altro webmaster, per esempio), loro le hanno.

questo si che è un bel suggerimento!