Заказала сайт. Попросила пароли. Разработчик ответил, что сайт самописный и паролей нет. Так так надувательство?

Если сайт состоит из статической информации и там в принципе нет админки,
то пароли только от хостинга (доступ до компьютера, где всё это стоит)

Просите пароли не от сайта, а от хостинга. Они точно есть
(Сайты без админки существуют)

похоже на то, помимо нужен доступ к хостингу и права на домен

Всё зависит от техзадания. Если была задача написать сайт на CMS - значит, скорее всего пароль есть (но тоже не обязательно). Если были выделены финансы на покупку доменного имени - значит логин/пароль от личного кабинета у регистратора доменов - должны быть. Если были выделены финансы на покупку хостинга - тогда и логин/пароль от личного кабинета на хостинге должны быть. Ну а на нет - и суда нет.

Скорее всего, у сайта нет админки и без помощи специалистов вы вносить явные изменения не сможете.

Доступ к хостингу вам тоже не всегда смогут дать: если для вашего проекта не покупался отдельный хостинг, а разработчики разместили его у себя, пароли они вам тоже дать не смогут, чтобы вы им не "запороли" другие проекты.

Если откажутся давать доступ к хостингу – попросите бекап и покупайте свой хостинг.

Сайт самописный, он имел ввиду, что не делал сайт на движке. А это значит, что скорее всего, а в твоем случае именно так, на сайте нет админки, и от него пароля быть не может.