# Certificat wildcard PARTAGÉ par tous les projets vitrine (un seul, renouvelé
# automatiquement par cert-manager ~30 jours avant expiration). Il vit dans le
# namespace du Traefik partagé et est servi via son TLSStore (voir
# deploy/chart-gestion/traefik : `tls.extraSecretNames`), comme
# wildcard-demo-tls pour les démos (*.omnex.sbs).
#
# Secret distinct (`wildcard-vitrine-tls`) : celui des démos n'est pas touché.
# À appliquer UNE FOIS, après cluster-issuer.yml, AVANT de référencer ce
# secret dans le TLSStore. Vérifier : kubectl get certificate -n traefik
# (premier essai : remplacer l'issuer par letsencrypt-dns-vitrine-staging).
apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: wildcard-vitrine-tls
  namespace: traefik
spec:
  secretName: wildcard-vitrine-tls
  issuerRef:
    name: letsencrypt-dns-vitrine
    kind: ClusterIssuer
  commonName: "vitrine-omnex.club"
  dnsNames:
    - "vitrine-omnex.club"
    - "*.vitrine-omnex.club"