feat(argocd): SSO OIDC Authentik sur le domaine (argocd.funklab.online)

- values : configs.cm (url + oidc.config vers auth.funklab.online, secret
  référencé $argocd-oidc:clientSecret) + rbac lab-admins→admin
- IngressRoute websecure + Let's Encrypt (route argocd.lab.local conservée)

Appliqué hors ArgoCD (bootstrap helm) :
  helm upgrade argocd argo/argo-cd -n argocd --version 9.5.14 \
    -f k8s/argocd-bootstrap/values.yaml
Secret k8s argocd-oidc déjà créé (clé clientSecret, label part-of=argocd).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

k8s/argocd-bootstrap/ingressroute-public.yaml

@@ -0,0 +1,20 @@
+# Accès public HTTPS — argocd.funklab.online (cert Let's Encrypt auto).
+# ArgoCD n'est pas auto-synchronisé : appliquer à la main
+#   kubectl apply -f k8s/argocd-bootstrap/ingressroute-public.yaml
+# Route interne argocd.lab.local conservée (Ingress du chart).
+apiVersion: traefik.io/v1alpha1
+kind: IngressRoute
+metadata:
+  name: argocd-public
+  namespace: argocd
+spec:
+  entryPoints:
+    - websecure
+  routes:
+    - match: Host(`argocd.funklab.online`)
+      kind: Rule
+      services:
+        - name: argocd-server
+          port: 80
+  tls:
+    certResolver: letsencrypt