Option domaine public : Let's Encrypt (poc_tls) et accès réservé par IP (poc_allowed_sources)

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

inventory/group_vars/all.yml

@@ -9,6 +9,19 @@
 # ".internal" est réservé par l'ICANN pour l'usage privé : pas de collision possible.
 poc_domain: bwpoc.internal            # A ADAPTER si vous avez une zone DNS de labo
 
+# --- TLS ----------------------------------------------------------------
+# selfsigned : certificats auto-signés (labo fermé, domaine non public)
+# letsencrypt : ACME HTTP-01, les 4 noms doivent pointer sur le WAF et le port 80 être joignable d'Internet
+poc_tls: selfsigned
+poc_letsencrypt_email: ""
+poc_letsencrypt_staging: false        # true pour tester sans consommer les quotas Let's Encrypt
+
+# --- Exposition publique ------------------------------------------------
+# Sites réservés à certaines IP sources (403 pour les autres, sauf challenge ACME).
+# Le client de test du PoC est toujours autorisé. Liste vide = pas de restriction.
+poc_restricted_sites: [bwui]
+poc_allowed_sources: []               # ex. ["203.0.113.10", "198.51.100.0/24"]
+
 # --- Proxmox ----------------------------------------------------------
 pve_node: lancelot
 pve_storage: zfs                      # stockage ZFS de lancelot