feat(infra): domaine public funklab.online + HTTPS Let's Encrypt (fondation) (#88)

- traefik : values.yaml versionné (réplique existant + certResolver ACME
  HTTP-01 + acme.json persistant) — appliqué par helm upgrade (hors ArgoCD).
  Redirect HTTP→HTTPS scopée funklab.online (ne casse pas *.lab.local).
- gateway : DNAT 80/443 → Traefik + rate-limit
- dnsmasq : split-horizon *.funklab.online → Traefik (var public_domain)
- doc : admin/k8s/public-domain.md (archi, OVH/Freebox, helm, ajout d'app)

Appliqué et vérifié : helm upgrade OK (services *.lab.local intacts),
resolver ACME chargé, DNAT/dnsmasq en place. En attente DNS OVH + Freebox
pour l'émission des certificats.

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/dnsmasq/templates/dnsmasq.conf.j2

@@ -28,6 +28,11 @@ address=/{{ host.name }}/{{ host.ip }}
 # Wildcard *.lab.local → IP MetalLB Traefik (ingress)
 address=/.{{ dns_domain }}/{{ traefik_ip }}
 
+# Split-horizon : *.funklab.online résolu en interne vers Traefik (le LAN utilise
+# les mêmes URLs publiques sans sortir sur Internet ; l'extérieur passe par le DNS
+# OVH → IP publique → Freebox → s01). Ajouter ici chaque nouveau domaine public.
+address=/{{ public_domain }}/{{ traefik_ip }}
+
 # DHCP — plage dynamique pour le LAN cluster
 dhcp-range={{ dhcp_range_start }},{{ dhcp_range_end }},{{ dhcp_lease_time }}
 dhcp-option=option:dns-server,{{ lan_ip }}