chore: update

2026-07-31 13:25:03 +02:00
parent ac8bdbcab7
commit dce80908e3
31 changed files with 740 additions and 155 deletions
@@ -0,0 +1,65 @@
+# Prérequis (à faire une seule fois, hors de ces manifestes) :
+#   helm repo add jetstack https://charts.jetstack.io
+#   helm install cert-manager jetstack/cert-manager \
+#     --namespace cert-manager --create-namespace --set crds.enabled=true
+#
+# Un certificat wildcard (*.demo.demo-uber.club) ne peut être émis que via un
+# challenge DNS-01 (le challenge HTTP-01 ne supporte pas les wildcards) : il
+# faut donc que cert-manager puisse créer des enregistrements TXT chez votre
+# fournisseur DNS. Exemple ci-dessous avec Cloudflare (le plus courant) —
+# remplacez le bloc `cloudflare:` par le solver de votre fournisseur si ce
+# n'est pas celui-ci (route53, digitalocean, ovh via webhook, etc.).
+apiVersion: v1
+kind: Secret
+metadata:
+  name: cloudflare-api-token
+  namespace: cert-manager
+type: Opaque
+stringData:
+  # Token Cloudflare avec la permission "Zone:DNS:Edit" sur la zone demo-uber.club.
+  # https://dash.cloudflare.com/profile/api-tokens
+  api-token: "" # À REMPLIR avant application
+
+---
+apiVersion: cert-manager.io/v1
+kind: ClusterIssuer
+metadata:
+  name: letsencrypt-dns
+spec:
+  acme:
+    server: https://acme-v02.api.letsencrypt.org/directory
+    email: admin@demo-uber.club # À adapter
+    privateKeySecretRef:
+      name: letsencrypt-dns-account-key
+    solvers:
+      - dns01:
+          cloudflare:
+            apiTokenSecretRef:
+              name: cloudflare-api-token
+              key: api-token
+        selector:
+          dnsZones:
+            - "demo-uber.club"
+
+---
+# Issuer de test (ne compte pas dans les limites de rate-limit de Let's Encrypt
+# prod — utile pour valider la chaîne DNS-01 avant de basculer sur letsencrypt-dns).
+apiVersion: cert-manager.io/v1
+kind: ClusterIssuer
+metadata:
+  name: letsencrypt-dns-staging
+spec:
+  acme:
+    server: https://acme-staging-v02.api.letsencrypt.org/directory
+    email: admin@demo-uber.club # À adapter
+    privateKeySecretRef:
+      name: letsencrypt-dns-staging-account-key
+    solvers:
+      - dns01:
+          cloudflare:
+            apiTokenSecretRef:
+              name: cloudflare-api-token
+              key: api-token
+        selector:
+          dnsZones:
+            - "demo-uber.club"
@@ -0,0 +1,19 @@
+# Un seul certificat wildcard, renouvelé automatiquement par cert-manager
+# (par défaut ~30 jours avant expiration), stocké dans le Secret ci-dessous.
+# Le chart traefik (voir deploy/chart-gestion/traefik) le consomme comme
+# certificat par défaut de son TLSStore : aucune démo n'a besoin de son
+# propre certificat, toutes partagent celui-ci.
+apiVersion: cert-manager.io/v1
+kind: Certificate
+metadata:
+  name: wildcard-demo-tls
+  namespace: traefik # doit être le même namespace que le déploiement Traefik partagé
+spec:
+  secretName: wildcard-demo-tls
+  issuerRef:
+    name: letsencrypt-dns
+    kind: ClusterIssuer
+  commonName: "demo.demo-uber.club"
+  dnsNames:
+    - "demo.demo-uber.club"
+    - "*.demo.demo-uber.club"