apiVersion: traefik.io/v1alpha1
kind: Middleware
metadata:
  name: waf-chain
  namespace: {{ .Release.Namespace }}
  labels:
    {{- include "gestion-traefik.labels" . | nindent 4 }}
spec:
  chain:
    middlewares:
      - name: rate-limit
      # coraza-waf désactivé temporairement (2026-08-17) : fait planter
      # Traefik (panic Go "unsafe.Slice: len out of range" dans le runtime
      # WASM du plugin coraza-http-wasm-traefik v0.3.0) dès qu'une vraie
      # IngressRoute de démo l'active — reproductible à 100% au chargement,
      # crash-loop du pod partagé, bloque TOUTES les démos. Jamais exercé
      # avant la toute première démo réelle. À investiguer (version du
      # plugin ? directives ModSecurity trop volumineuses/complexes pour ce
      # runtime WASM ?) avant réactivation — voir middleware-waf.yaml pour
      # les directives complètes.
      # - name: coraza-waf
      - name: security-headers