diff --git a/helm/APP_NAME/values.yaml b/helm/APP_NAME/values.yaml
index 116a979..1343267 100644
--- a/helm/APP_NAME/values.yaml
+++ b/helm/APP_NAME/values.yaml
@@ -49,14 +49,13 @@ ingress:
   # className por defecto = nginx (rke2-ingress-nginx pre-instalado en cluster tenant).
   # Cambiar solo si el tenant trae su propio IngressClass.
   className: nginx
-  # Host con tenant-id CON guiones (formato canónico Cove): coincide con
-  # los A records que crea cloudflare-provisioner (Gap 5) y el wildcard
-  # cert apps-wildcard-tls (Gap 3).
-  host: __APP_NAME__-__TENANT_ID__.apps.coralware.cloud
-  # Secret TLS provisto por el wildcard *.apps.coralware.cloud sembrado
-  # en el cluster tenant por el agente cloudflare/cert-manager (Gap 3).
-  # NO se renombra por app — todas las apps del tenant lo comparten.
-  tlsSecretName: apps-wildcard-tls
+  # FQDN en formato subdominio (ADR-067 / ADR-082): <app>.<tenant-uuid>.apps.coralware.cloud
+  # Cubierto por el wildcard A record *.{tenant-uuid}.apps.coralware.cloud (un solo record)
+  # y el Certificate CR tenant-wildcard-tls emitido por cert-manager local del cluster.
+  host: __APP_NAME__.__TENANT_ID__.apps.coralware.cloud
+  # Secret TLS generado por cert-manager local del cluster tenant (ADR-060 Fase 2).
+  # cert-manager emite *.{tenant-uuid}.apps.coralware.cloud vía DNS-01 Cloudflare.
+  tlsSecretName: tenant-wildcard-tls
   # Body size para subidas/uploads de la app — rest-api es stateless por
   # diseño (sin upload), default conservador 1m. Ajustar si la API acepta
   # payloads grandes (ej. file POST).