Присоединяюсь к ответам
@sim3x и
@EnterSandman.
Если есть подозрения, то только такая схема работы - заключать договор, не размещать на хостинге заказчика и не отдавать ключи от сервера до оплаты.
Всякие бэкдоры и бомбы - не то. Как уже сказали, против вас будут бэкапы, плюс пострадает репутация - не отмажетесь.
Как вариант, размещать сервер на каком-нибудь облачном хостинге, как описано в
этой статье.