Option domaine public : Let's Encrypt (poc_tls) et accès réservé par IP (poc_allowed_sources)

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

inventory/group_vars/all.yml

@@ -9,6 +9,19 @@
 # ".internal" est réservé par l'ICANN pour l'usage privé : pas de collision possible.
 poc_domain: bwpoc.internal            # A ADAPTER si vous avez une zone DNS de labo
 
+# --- TLS ----------------------------------------------------------------
+# selfsigned : certificats auto-signés (labo fermé, domaine non public)
+# letsencrypt : ACME HTTP-01, les 4 noms doivent pointer sur le WAF et le port 80 être joignable d'Internet
+poc_tls: selfsigned
+poc_letsencrypt_email: ""
+poc_letsencrypt_staging: false        # true pour tester sans consommer les quotas Let's Encrypt
+
+# --- Exposition publique ------------------------------------------------
+# Sites réservés à certaines IP sources (403 pour les autres, sauf challenge ACME).
+# Le client de test du PoC est toujours autorisé. Liste vide = pas de restriction.
+poc_restricted_sites: [bwui]
+poc_allowed_sources: []               # ex. ["203.0.113.10", "198.51.100.0/24"]
+
 # --- Proxmox ----------------------------------------------------------
 pve_node: lancelot
 pve_storage: zfs                      # stockage ZFS de lancelot

inventory/group_vars/bunkerweb.yml

@@ -21,8 +21,12 @@ bw_global_settings:
   MULTISITE: "yes"
   DISABLE_DEFAULT_SERVER: "yes"        # Host inconnu = connexion fermée (444)
   SERVE_FILES: "no"
-  # TLS : certificats auto-signés par site (pas d'ACME en labo fermé)
-  GENERATE_SELF_SIGNED_SSL: "yes"
+  # TLS : auto-signé (labo fermé) ou Let's Encrypt (domaine public), voir poc_tls
+  GENERATE_SELF_SIGNED_SSL: "{{ 'yes' if poc_tls == 'selfsigned' else 'no' }}"
+  AUTO_LETS_ENCRYPT: "{{ 'yes' if poc_tls == 'letsencrypt' else 'no' }}"
+  EMAIL_LETS_ENCRYPT: "{{ poc_letsencrypt_email }}"
+  LETS_ENCRYPT_CHALLENGE: "http"
+  USE_LETS_ENCRYPT_STAGING: "{{ 'yes' if poc_letsencrypt_staging | bool else 'no' }}"
   AUTO_REDIRECT_HTTP_TO_HTTPS: "yes"
   # WAF : ModSecurity + OWASP CRS v4 actifs partout (défaut BunkerWeb)
   USE_MODSECURITY: "yes"