feat(gateway-api): ADR-060 Fase 1.1 — chart a HTTPRoute (Traefik + Gateway API)

Sincronizado desde repo IDP templates/ (CHART-SYNC-IDP-GITEA-DRIFT). Reemplaza el
Ingress (rke2-ingress-nginx, EOL marzo 2026) por HTTPRoute (Gateway API) adjunto al
Gateway tenant-gateway que crea stack-deployer (§3c). NetworkPolicy egress kube-system
-> traefik-system. FQDN DOT (ADR-082) preservado.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

helm/APP_NAME/templates/networkpolicy.yaml

@@ -1,8 +1,9 @@
 {{- if .Values.networkPolicy.enabled }}
 # NetworkPolicy mínima del shape: bajo deny-all-default del namespace, permite:
-# - Ingress: rke2-ingress-nginx (web-backend público) + Prometheus (scrape de /metrics).
+# - Ingress: Traefik Proxy (web-backend público) + Prometheus (scrape de /metrics).
 # - Egress: DNS, Harbor (pull en startup), ns-addons del tenant (BD).
-# Nota: el cluster tenant usa rke2-ingress-nginx en kube-system, NO Traefik.
+# Nota: el cluster tenant usa Traefik Proxy + Gateway API en ns traefik-system
+# (ADR-060 Fase 1; reemplaza rke2-ingress-nginx que corría en kube-system).
 # Materializada como Helm hook (pre-install/pre-upgrade, weight "-8") para que
 # este disponible ANTES de que el Job Alembic (hook weight 0) ejecute su
 # InitContainer wait-for-secret — el InitContainer hace REST API call al
@@ -37,12 +38,12 @@ spec:
   policyTypes: [Ingress, Egress]
 
   ingress:
-    # Tráfico HTTP desde rke2-ingress-nginx (Ingress estándar).
-    # El controller corre en kube-system por default en RKE2.
+    # Tráfico HTTP desde Traefik Proxy (Gateway API, ADR-060 Fase 1).
+    # El controller corre en ns traefik-system (lo instala el bundle traefik-bootstrap).
     - from:
         - namespaceSelector:
             matchLabels:
-              kubernetes.io/metadata.name: {{ .Values.networkPolicy.ingressControllerNamespace | default "kube-system" }}
+              kubernetes.io/metadata.name: {{ .Values.networkPolicy.ingressControllerNamespace | default "traefik-system" }}
       ports:
         - protocol: TCP
           port: 8000