Va bene solo così:
Non aprire mai la porta del server sul router: da fuori casa si passa sempre dalla VPN. Quando avrai un dominio, passa a https.
Modalità prova con dati di esempio. Puoi provare tutto, ma niente viene salvato.
I documenti stanno solo su questo telefono. Portali fuori ogni tanto: l'app crea uno zip diviso in cartelle, tu lo metti al sicuro, e solo dopo la tua conferma li cancella dal telefono.