боюсь что могут украсть сайт

1. Пароль от админки (панели администратора) домена.
Надеюсь домен регистрировали на свои данные. Если не на свои, но платили Вы, то смените администратора. Для этого свяжитесь с регистратором, которому платили за регистрацию домена. Регистратор примет заявку только с того e-mail, который был указан при регистрации домена. Если указан не ваш - то просто смените в панели управления на нужный e-mail.
2. Пароль от админки хостинга (панели хостинг-площадки) где лежит ваш сайт.
Там тоже смените контактный e-mail и пароль доступа.
3. Что касается ftp, то я просто удаляю доступ по ftp.
FTP - по большому счёту - это доступ к вашему сайту пользователю с любого другого компьютера (в другом городе, стране) .
Тут два варианта: или сменить пароль FTP или удалить доступ по FTP из панели управления (не у всех хостинг-операторов есть такая возможность) .
Впрочем есть и третий, более эффективный, но сложный (для валенка) вариант: это запрет через файл htaccess.
4. Ну и последнее: если у сайта есть панель управления.. .
Если ваш сайт на CMS и у вашего сайта есть панель управления (если вы на своём сайте вводите логин и пароль) , то требуйте и эти данные. Если сайт статичный (без админки) , то пункт 4 вам не пригодится. Удачи с сайтом!

В панеле управления хостингом меняется пароль фтп. Пароль к базе данный меняется там же. Но нужно в файле конфигурации его так же менять

Базы Данных MySQL, FTP аккаунты, к самому хостингу, и домену если регистратор отличается от хоста.