feat(auth): hub sur le domaine HTTPS — routes publiques + SSO Guacamole (#89)

(Commits restés orphelins après le squash-merge de #88, poussés trop tard.)
- IngressRoutes websecure+TLS : auth./portail.funklab.online
- Guacamole : endpoints OIDC basculés sur https://auth./portail.funklab.online
  (les ports 9080/9081 restent un chemin réseau valide)

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

k8s/apps/authentik/ingress-public.yaml

@@ -0,0 +1,18 @@
+# Accès public HTTPS — auth.funklab.online (cert Let's Encrypt auto).
+# S'ajoute à la route interne auth.lab.local (non destructif).
+apiVersion: traefik.io/v1alpha1
+kind: IngressRoute
+metadata:
+  name: authentik-public
+  namespace: auth
+spec:
+  entryPoints:
+    - websecure
+  routes:
+    - match: Host(`auth.funklab.online`)
+      kind: Rule
+      services:
+        - name: authentik
+          port: 9000
+  tls:
+    certResolver: letsencrypt