# Certificat par défaut pour TOUTES les IngressRoute (ce namespace et les
# namespaces de démo) qui ne précisent pas tls.secretName — c'est le wildcard
# émis par cert-manager (voir deploy/cert-manager/wildcard-certificate.yml).
apiVersion: traefik.io/v1alpha1
kind: TLSStore
metadata:
  name: default
  namespace: {{ .Release.Namespace }}
  labels:
    {{- include "gestion-traefik.labels" . | nindent 4 }}
spec:
  defaultCertificate:
    secretName: {{ .Values.tls.secretName }}
  {{- with .Values.tls.extraSecretNames }}
  # Certificats supplémentaires (SNI) : ex. le wildcard des projets vitrine.
  # Traefik choisit le certificat d'après le nom d'hôte demandé ; le
  # defaultCertificate ci-dessus reste celui des hôtes non couverts.
  certificates:
    {{- range . }}
    - secretName: {{ . }}
    {{- end }}
  {{- end }}