El Sentinel TCP escucha en el puerto 8444.
Para capturar intentos directos al dominio, añada en su Caddyfile:

pki.jarvis-panel.xyz:443 {
  @no_cert {
    not tls_client_certificate_serial *
  }
  route @no_cert {
    reverse_proxy 127.0.0.1:8444
  }
}