Til spørsmålet ditt: nei, det holder ikke å bare laste opp web/. Drupal-kjernen og alle moduler du installerer via Composer ligger i vendor/ og web/core, web/modules/contrib, og autoloaderen i vendor/ må stemme med composer.lock. Hvis du bare oppdaterer web/ men lar vendor/ stå, kan du få avhengigheter (Symfony osv.) som ikke matcher kjernen, og siden kan knekke. composer.json og composer.lock trenger du strengt tatt ikke på serveren for at siden skal kjøre, men det er greit å ha dem der hvis du senere kjører Composer direkte via SSH. Config-filene trenger ikke peke på produksjonsdatabasen lokalt. Behold settings.php og web/sites/default/files på serveren og ikke overskriv dem. Etter opplasting: kjør drush updb og drush cr (eller /update.php), og ta alltid backup av database og filer først. Det enkleste og tryggeste er som du er inne på å kjøre composer install --no-dev direkte på serveren via SSH, med composer.lock committet fra din lokale versjon, så får du identiske pakker uten å laste opp tusenvis av filer.