chore: migrar Ingress Traefik→NGINX + cascada wildcard cert (sync APERTURA COVE S3)

helm/APP_NAME/templates/ingress.yaml

@@ -0,0 +1,41 @@
+{{- if .Values.ingress.enabled }}
+# Ingress estándar networking.k8s.io/v1 con ingressClassName=nginx.
+# Razón: el cluster tenant nace con rke2-ingress-nginx por default —
+# instalar Traefik añade footprint e inconsistencia respecto al control
+# plane (donde Traefik sí está). NGINX Ingress es más portable y permite
+# que el tenant siga su exit plan sin lock-in. Además RKE2 es la
+# distribución certificada CIS Kubernetes Benchmark con soporte SUSE CSP
+# — sustituir el ingress controller default rompe la certificación.
+# Decisión: APERTURA COVE Sesión 3 (2026-05-19) — ADR-053 §11.1
+# (replicado al shape rest-api/python por paridad).
+# Nota: el shape rest-api/python es stateless por diseño; proxyBodySize
+# default 1m es suficiente para payloads JSON típicos. Sube vía values
+# si necesitás aceptar uploads más grandes.
+apiVersion: networking.k8s.io/v1
+kind: Ingress
+metadata:
+  name: {{ .Release.Name }}
+  labels:
+    {{- include "app.labels" . | nindent 4 }}
+  annotations:
+    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
+    nginx.ingress.kubernetes.io/ssl-redirect: "true"
+    nginx.ingress.kubernetes.io/proxy-body-size: {{ .Values.ingress.proxyBodySize | default "1m" | quote }}
+spec:
+  ingressClassName: {{ .Values.ingress.className | default "nginx" }}
+  tls:
+    - hosts:
+        - {{ .Values.ingress.host | quote }}
+      secretName: {{ .Values.ingress.tlsSecretName | default "apps-wildcard-tls" }}
+  rules:
+    - host: {{ .Values.ingress.host | quote }}
+      http:
+        paths:
+          - path: /
+            pathType: Prefix
+            backend:
+              service:
+                name: {{ .Release.Name }}
+                port:
+                  number: {{ .Values.service.port }}
+{{- end }}

helm/APP_NAME/templates/ingressroute.yaml

@@ -1,19 +0,0 @@
-{{- if .Values.ingress.enabled }}
-apiVersion: traefik.io/v1alpha1
-kind: IngressRoute
-metadata:
-  name: {{ .Release.Name }}
-  labels:
-    {{- include "app.labels" . | nindent 4 }}
-spec:
-  entryPoints:
-    - websecure
-  routes:
-    - match: Host(`{{ .Values.ingress.host }}`)
-      kind: Rule
-      services:
-        - name: {{ .Release.Name }}
-          port: {{ .Values.service.port }}
-  tls:
-    secretName: {{ .Values.ingress.tlsSecretName }}
-{{- end }}

helm/APP_NAME/templates/networkpolicy.yaml

@@ -1,8 +1,9 @@
 {{- if .Values.networkPolicy.enabled }}
 # NetworkPolicy mínima del shape rest-api: bajo deny-all-default del namespace, permite:
-# - Ingress: Traefik (público) + Prometheus (scrape de /metrics).
+# - Ingress: rke2-ingress-nginx (público) + Prometheus (scrape de /metrics).
 # - Egress: DNS, Harbor pull HTTPS.
 # Sin acceso a ns-addons (rest-api no tiene BD por diseño).
+# Nota: el cluster tenant usa rke2-ingress-nginx en kube-system, NO Traefik.
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
@@ -16,11 +17,12 @@ spec:
   policyTypes: [Ingress, Egress]
 
   ingress:
-    # Tráfico HTTP desde Traefik (IngressRoute)
+    # Tráfico HTTP desde rke2-ingress-nginx (Ingress estándar).
+    # El controller corre en kube-system por default en RKE2.
     - from:
         - namespaceSelector:
             matchLabels:
-              kubernetes.io/metadata.name: traefik-system
+              kubernetes.io/metadata.name: {{ .Values.networkPolicy.ingressControllerNamespace | default "kube-system" }}
       ports:
         - protocol: TCP
           port: 8000