feat(infra): domaine public funklab.online + HTTPS Let's Encrypt (fondation) (#88)

- traefik : values.yaml versionné (réplique existant + certResolver ACME
  HTTP-01 + acme.json persistant) — appliqué par helm upgrade (hors ArgoCD).
  Redirect HTTP→HTTPS scopée funklab.online (ne casse pas *.lab.local).
- gateway : DNAT 80/443 → Traefik + rate-limit
- dnsmasq : split-horizon *.funklab.online → Traefik (var public_domain)
- doc : admin/k8s/public-domain.md (archi, OVH/Freebox, helm, ajout d'app)

Appliqué et vérifié : helm upgrade OK (services *.lab.local intacts),
resolver ACME chargé, DNAT/dnsmasq en place. En attente DNS OVH + Freebox
pour l'émission des certificats.

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

k8s/infra/traefik/redirect.yaml

@@ -0,0 +1,29 @@
+# Redirection HTTP→HTTPS scopée à funklab.online (ne touche pas *.lab.local).
+# Appliqué normalement (kubectl apply / ArgoCD infra) — CRD Traefik.
+apiVersion: traefik.io/v1alpha1
+kind: Middleware
+metadata:
+  name: redirect-https
+  namespace: infra
+spec:
+  redirectScheme:
+    scheme: https
+    permanent: true
+---
+apiVersion: traefik.io/v1alpha1
+kind: IngressRoute
+metadata:
+  name: funklab-http-redirect
+  namespace: infra
+spec:
+  entryPoints:
+    - web
+  routes:
+    - match: HostRegexp(`^.+\.funklab\.online$`)
+      kind: Rule
+      middlewares:
+        - name: redirect-https
+      services:
+        # Service factice requis par le schéma ; la middleware redirige avant d'y aller
+        - name: noop@internal
+          kind: TraefikService