Как выдать API-доступ подрядчику безопасно?

Отдельный ключ на подрядчика с минимальным spend limit и понятным именем — никаких общих prod-ключей. Значение передавайте по защищённому каналу, а не в мессенджер: secret store, менеджер паролей. По окончании работ отзовите ключ сразу, не «потом».

Перед отзывом проверьте историю трат ключа: объём и характер запросов покажут, всё ли было штатно. Раз в квартал делайте ревизию списка ключей — висячие ключи бывших подрядчиков классическая дыра в безопасности.