chore: migrar Ingress Traefik→NGINX + cascada wildcard cert (sync APERTURA COVE S3)

helm/APP_NAME/values.yaml

@@ -49,8 +49,19 @@ service:
 
 ingress:
   enabled: true
-  host: __APP_NAME__-__TENANT_ID_NODASHES__.apps.coralware.cloud
-  tlsSecretName: __APP_NAME__-tls
+  # className por defecto = nginx (rke2-ingress-nginx pre-instalado en cluster tenant).
+  # Cambiar solo si el tenant trae su propio IngressClass.
+  className: nginx
+  # Host con tenant-id CON guiones (formato canónico Cove): coincide con
+  # los A records que crea cloudflare-provisioner (Gap 5) y el wildcard
+  # cert apps-wildcard-tls (Gap 3).
+  host: __APP_NAME__-__TENANT_ID__.apps.coralware.cloud
+  # Secret TLS provisto por el wildcard *.apps.coralware.cloud sembrado
+  # en el cluster tenant por el agente cloudflare/cert-manager (Gap 3).
+  # NO se renombra por app — todas las apps del tenant lo comparten.
+  tlsSecretName: apps-wildcard-tls
+  # Body size para subidas/uploads de la app — ajustar según necesidad.
+  proxyBodySize: 10m
 
 alembic:
   enabled: true
@@ -67,3 +78,6 @@ serviceMonitor:
 networkPolicy:
   enabled: true
   addonsNamespace: addons          # ADR-054: namespace funcional fijo en cluster tenant
+  # Namespace donde corre el ingress controller del cluster tenant.
+  # RKE2 instala rke2-ingress-nginx en kube-system por default.
+  ingressControllerNamespace: kube-system