Доступ выдают без пароля: заходите в Метрику, открываете счётчик, идёте в Настройки, вкладку Доступ, вводите логин или email подрядчика и выбираете роль. "Только просмотр" подходит, если человеку нужно смотреть отчёты. "Редактирование" нужно тому, кто настраивает цели, вебвизор или карту кликов - без этой роли изменить настройки счётчика он не сможет.
Логин и пароль от своего Яндекс ID отдавать не стоит никогда, даже если подрядчик просит "так быстрее". Через один аккаунт часто привязаны Директ, Вебмастер и почта, и с доступом к счётчику посторонний получает доступ ко всему остальному заодно. Роль в Метрике даёт ровно то, что нужно для работы, и ничего лишнего.
После того как подрядчик закончил настройку, доступ стоит отозвать - там же, в разделе Доступ, напротив логина есть кнопка удаления. Это не недоверие, а обычная гигиена: чем меньше людей с редактированием у счётчика, тем меньше риск, что кто-то случайно поменяет цели или удалит вебвизор.
Если вы сами запускаете рекламу в Директе, добавьте доступ к Метрике и туда - в разделе Доступ можно выдать права рекламному кабинету напрямую. Тогда кампании смогут работать по целям и оптимизировать ставки под реальные заявки, а не только по кликам.