# TLSOption globale (nom `default` dans le namespace `default` = appliquée à toutes
# les routes TLS qui n'en spécifient pas). Traefik est HORS ArgoCD → à la main :
#   kubectl apply -f k8s/infra/traefik/tls-options.yaml
# Élève le plancher à TLS 1.2 et fixe des ciphers modernes (TLS 1.3 auto, non
# configurable). Vérifier ensuite : nmap --script ssl-enum-ciphers -p 443 <host>.
apiVersion: traefik.io/v1alpha1
kind: TLSOption
metadata:
  name: default
  namespace: default
spec:
  minVersion: VersionTLS12
  cipherSuites:
    - TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
    - TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
    - TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
    - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    - TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305
    - TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305