Мне кажется у вас противоречие: "дать им возможность устанавливать софт" и "ограничить их в установке вредоносного ПО".

Настройка ВПС и базового окружения делаете вы сами. Для этого есть много инструментов - Ansible, Puppet и др.
А в sudoers пользователю даёте право только на управление определёнными сервисами (nginx,mysql,php-fpm). Все остальные действия пусть делают под локальным пользователем. Для nginx, например, определяете инклуд файлы которые размещаются в папках пользователей. Ну и со многими сервисами так тоже можно.
Ну и добавление неосновного ПО пусть по запросу будет.

(c DIgitalOcean не знаком так что если что, то прошу не пинать)

Настроен ли ваш домен как надо?
SPF запись ?
Политика DMARC?
DKIM подпись писем ?

Я так понимаю вы же прям со своей VPS отправляете, а не через почтовый шлюз.
Вариантов у вас 2:
1) Настроить домен и почтовый сервер
2) настроить пересылку почты через почтовый шлюз к.л. почтового провайдера.

Думаю в вашем случае проще сделать второй вариант.

Оно?
g.zeos.in/?q=USB%20%3E%20TTL

Если использовать OpenSSH то у него есть параметр "-i" - указать файл ключа
в вашем случае будет примерно так
ssh $vash_host -i C:\Users\username\.ssh\id_rsa
нужно указать полный путь до закрытого ключа, где id_rsa - имя файла ключа