feat(infra): domaine public funklab.online + HTTPS Let's Encrypt (fondation)

- traefik : values.yaml versionné (réplique existant + certResolver ACME
  HTTP-01 + acme.json persistant) — appliqué par helm upgrade (hors ArgoCD).
  Redirect HTTP→HTTPS scopée funklab.online (ne casse pas *.lab.local).
- gateway : DNAT 80/443 → Traefik + rate-limit
- dnsmasq : split-horizon *.funklab.online → Traefik (var public_domain)
- doc : admin/k8s/public-domain.md (archi, OVH/Freebox, helm, ajout d'app)

Appliqué et vérifié : helm upgrade OK (services *.lab.local intacts),
resolver ACME chargé, DNAT/dnsmasq en place. En attente DNS OVH + Freebox
pour l'émission des certificats.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ansible/group_vars/all/vars.yml

@@ -1,6 +1,7 @@
 ---
 admin_user: alkatrazz
 dns_domain: lab.local
+public_domain: funklab.online   # domaine public (OVH) — apps exposées en HTTPS via Traefik
 ntp_servers:
   - 0.fr.pool.ntp.org
   - 1.fr.pool.ntp.org