feat(apps): Open WebUI (OIDC) + n8n sur le domaine public HTTPS (#91)

- open-webui : SSO OIDC Authentik (app openwebui) + route
  openwebui.funklab.online. Secret vault_openwebui_oauth_client_secret
  (= secret k8s ai/open-webui-oauth). Nouveaux comptes en rôle 'user'.
- n8n : route n8n.funklab.online (garde son propre login ; route interne
  n8n.lab.local conservée pour le webhook AlertManager)

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

k8s/apps/n8n/ingress-public.yaml

@@ -0,0 +1,19 @@
+# Accès public HTTPS — n8n.funklab.online (cert Let's Encrypt auto).
+# n8n garde son propre login (pas d'OIDC en édition communautaire).
+# Route interne n8n.lab.local conservée (utilisée par le webhook AlertManager).
+apiVersion: traefik.io/v1alpha1
+kind: IngressRoute
+metadata:
+  name: n8n-public
+  namespace: ai
+spec:
+  entryPoints:
+    - websecure
+  routes:
+    - match: Host(`n8n.funklab.online`)
+      kind: Rule
+      services:
+        - name: n8n
+          port: 5678
+  tls:
+    certResolver: letsencrypt