Ключи остаются у вас
Пульт не ходит в чужие облака и не пересылает ваши данные на сторону. Всё общение идёт напрямую между телефоном и вашим сервером.
Агент слушает только внутри сервера
Наружу он не торчит: запросы приходят через ваш же nginx, который и так настроен под панель. Отдельный открытый порт не нужен.
Токен в защищённом хранилище
На Android это Keystore. Токен не попадает ни в обычные настройки приложения, ни в резервные копии в открытом виде.
Пин-код на вход
Свой, а не системный: у многих на телефоне блокировки экрана нет вовсе. Без пин-кода пульт не откроется, даже если телефон разблокирован.
Чего пульт не делает
Не правит конфигурацию Xray, не заходит на узлы по SSH, не отправляет статистику разработчику. Всё, что он умеет, видно в разделах.
Если телефон потерян
Отзовите токен на сервере — старое приложение сразу потеряет доступ. Потом получите новый QR-код и подключите пульт на новом телефоне.
vpn-watchdog --revoke