chore: build

deploy/chart-gestion/traefik/templates/tlsstore.yaml

@@ -11,3 +11,12 @@ metadata:
 spec:
   defaultCertificate:
     secretName: {{ .Values.tls.secretName }}
+  {{- with .Values.tls.extraSecretNames }}
+  # Certificats supplémentaires (SNI) : ex. le wildcard des projets vitrine.
+  # Traefik choisit le certificat d'après le nom d'hôte demandé ; le
+  # defaultCertificate ci-dessus reste celui des hôtes non couverts.
+  certificates:
+    {{- range . }}
+    - secretName: {{ . }}
+    {{- end }}
+  {{- end }}

deploy/chart-gestion/traefik/values.yaml

@@ -11,6 +11,17 @@
 # ce certificat.
 tls:
   secretName: wildcard-demo-tls
+  # Certificats supplémentaires servis par SNI (voir templates/tlsstore.yaml).
+  # NB : les clients ne voient PAS ce certificat — le TLS public est terminé par
+  # le WAF (deploy/chart-gestion/waf-cluster, `tls.extra`) ; celui-ci ne couvre
+  # que la connexion interne WAF -> Traefik.
+  # wildcard-vitrine-tls : *.vitrine-omnex.club, projets vitrine (voir
+  # deploy/chart-vitrine/cert-manager/wildcard-certificate.yml). Le Certificate
+  # doit exister AVANT le prochain démarrage du control-plane (qui refait un
+  # `helm upgrade --install` de ce chart) : sinon Traefik journalise une erreur
+  # pour ce secret manquant (les autres certificats restent servis).
+  extraSecretNames:
+    - wildcard-vitrine-tls
 
 waf:
   paranoia: 2