Domaine bwpoc.vlab.bzh derrière le Traefik de vlab.bzh, correctif de la règle d'accès réservé (chaîne ModSecurity)

Tests : 26 OK, 0 KO.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

inventory/group_vars/all.yml

@@ -7,7 +7,7 @@
 # --- Domaine de test -------------------------------------------------
 # Les sites seront www.<domaine>, shop.<domaine>, api.<domaine>, bwui.<domaine>
 # ".internal" est réservé par l'ICANN pour l'usage privé : pas de collision possible.
-poc_domain: bwpoc.internal            # A ADAPTER si vous avez une zone DNS de labo
+poc_domain: bwpoc.vlab.bzh            # A ADAPTER : bwpoc.internal pour un labo fermé (wildcard *.vlab.bzh -> Traefik)
 
 # --- TLS ----------------------------------------------------------------
 # selfsigned : certificats auto-signés (labo fermé, domaine non public)
@@ -19,13 +19,13 @@ poc_letsencrypt_staging: false        # true pour tester sans consommer les quot
 # Reverse proxy en frontal (Traefik, HAProxy...) qui termine le TLS public et relaie vers
 # le WAF (https://<waf>:443, certificat auto-signé à accepter côté proxy) : ses IP, pour
 # que BunkerWeb prenne l'IP réelle du client dans X-Forwarded-For (bans, limites, listes).
-poc_trusted_proxies: []               # ex. ["192.168.200.10"]
+poc_trusted_proxies: ["172.16.16.21"]  # Traefik de vlab.bzh ; [] sans reverse proxy
 
 # --- Exposition publique ------------------------------------------------
 # Sites réservés à certaines IP sources (403 pour les autres, sauf challenge ACME).
 # Le client de test du PoC est toujours autorisé. Liste vide = pas de restriction.
 poc_restricted_sites: [bwui]
-poc_allowed_sources: []               # ex. ["203.0.113.10", "198.51.100.0/24"]
+poc_allowed_sources: ["172.16.0.0/12", "192.168.0.0/16"]  # réseaux privés ; ajouter ses IP publiques
 
 # --- Proxmox ----------------------------------------------------------
 pve_node: lancelot