feat(guacamole): SSO direct — redirection immédiate vers Authentik (#79)

EXTENSION_PRIORITY "openid, *" : plus de formulaire local, l'arrivée sur
portail.lab.local redirige directement vers Authentik. L'admin passe par
un compte SSO avec « Administer system » (guacadmin devient inaccessible ;
retour arrière = remettre "*, openid").

Doc : pièges slug d'application (≠ guacamole → JWKS 404) et anti-bruteforce
(IP Traefik bloquée pour tous après 5 échecs) découverts pendant la mise
en route.

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

k8s/apps/guacamole/deployment.yaml

@@ -59,9 +59,12 @@ spec:
               value: "preferred_username"
             - name: OPENID_SCOPE
               value: "openid profile email"
-            # L'extension base (autorisation/connexions) passe avant l'OIDC (authentification)
+            # OIDC prioritaire : arrivée sur le portail = redirection immédiate vers
+            # Authentik (pas de formulaire local). Conséquence : guacadmin devient
+            # inaccessible — l'admin passe par un compte SSO avec « Administer system ».
+            # Dépannage sans Authentik : remettre "*, openid" ici et re-sync.
             - name: EXTENSION_PRIORITY
-              value: "*, openid"
+              value: "openid, *"
             - name: TZ
               value: "Europe/Paris"
           resources: