Вопрос хостерам о безопасности?
Не могу вам не чего сказать за apache, но на php-fpm + nginx я делаю так.

user = nginx
group = $pool # $pool равен группе пользователя в директории, которого храним сайт

Ну и chroot настраиваю.

При таких настройках для записи в директорию нам достаточно давать права 775, т.е. доступ будет только у пользователя в чей директории сайты nginx не сможет писать.
Для нормальных технологий (python, ruby, java) есть тот же uwsgi с emperor mode и режимом tyrant. Каждый пользователь тогда имеет запущенный от своего имени веб-сервер. Ну и плюс упомянутый выше MPM для apache.