---
# -------------------------------------------------------------------
# 5. Internet public sortant (webhooks Telegram/NowPayments, GPS TomTom...),
#    en excluant les plages privées : ça couvre par construction l'IP de
#    l'API server et celles des autres namespaces, sans avoir besoin de la
#    connaître explicitement.
# -------------------------------------------------------------------
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-egress-internet
spec:
  podSelector: {}
  policyTypes:
    - Egress
  egress:
    - to:
        - ipBlock:
            cidr: 0.0.0.0/0
            except:
              {{ toYaml .Values.blockedEgressCIDRs | nindent 14 }}