chore: migrar Ingress Traefik→NGINX + cascada wildcard cert (sync APERTURA COVE S3)

helm/APP_NAME/templates/networkpolicy.yaml

@@ -1,7 +1,8 @@
 {{- if .Values.networkPolicy.enabled }}
 # NetworkPolicy mínima del shape: bajo deny-all-default del namespace, permite:
-# - Ingress: Traefik (web-backend público) + Prometheus (scrape de /metrics).
+# - Ingress: rke2-ingress-nginx (web-backend público) + Prometheus (scrape de /metrics).
 # - Egress: DNS, Harbor (pull en startup), ns-addons del tenant (BD).
+# Nota: el cluster tenant usa rke2-ingress-nginx en kube-system, NO Traefik.
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
@@ -15,11 +16,12 @@ spec:
   policyTypes: [Ingress, Egress]
 
   ingress:
-    # Tráfico HTTP desde Traefik (IngressRoute)
+    # Tráfico HTTP desde rke2-ingress-nginx (Ingress estándar).
+    # El controller corre en kube-system por default en RKE2.
     - from:
         - namespaceSelector:
             matchLabels:
-              kubernetes.io/metadata.name: traefik-system
+              kubernetes.io/metadata.name: {{ .Values.networkPolicy.ingressControllerNamespace | default "kube-system" }}
       ports:
         - protocol: TCP
           port: 8000