feat(astrololo): wejscie po https z wlasnym CA (PRE-16)

Do tej pory aplikacja chodzila po zwyklym http, a logowanie szlo przez HTTP
Basic — czyli haslo leciało siecia w postaci trywialnej do podsluchania.

Poza bezpieczenstwem TLS naprawia DWIE funkcje zepsute dzis z tego samego
powodu: geolokalizacja przegladarki („Tu i teraz") i kopiowanie promptu do
schowka dzialaja wylacznie w secure context, wiec po http po prostu odmawialy.

Wlasne CA, nie Let's Encrypt — klaster stoi w LAN (traefik trzyma LoadBalancera
na 192.168.1.x), wiec walidacja HTTP-01 nie ma jak dojsc z internetu, a DNS-01
wymagalby trzymania w klastrze tokena API do domeny.

Co dochodzi:
- tls.yaml — Issuer selfSigned -> korzen CA (10 lat, importowany raz do
  przegladarki) -> Issuer CA -> certyfikat serwera (90 dni, odnawiany sam).
  Krotki termin certyfikatu serwera jest CELOWY: odnawianie sprawdza sie wtedy
  co kwartal, a nie dopiero za dekade.
- ingress.yaml — wejscie po https + naglowki (HSTS rok, nosniff, frameDeny)
  oraz osobny Ingress na porcie 80 robiacy przekierowanie. Rozdzielone
  swiadomie: gdyby redirect wisial na tym samym routerze co wejscie po https,
  odsylalby sam do siebie w kolko.
- presentation: Service NodePort -> ClusterIP. NodePort byl druga,
  nieszyfrowana droga do aplikacji, czyli obejsciem calego PRE-16.

Zmiana wymagajaca uwagi: TRUST_PROXY=true. Za Ingressem bezposrednim rozmowca
jest zawsze pod Traefika, wiec bez tego limit zadan liczylby WSZYSTKICH do
jednego wiadra i pierwsza osoba, ktora go wyklika, odcielaby pozostalych.

Sprawdzone: Ingress i Middleware przechodza `kubectl apply --dry-run=server`
na zywym klastrze (CRD traefik.io/v1alpha1 sa, entrypointy web/websecure sa).
Obiekty cert-managera zwalidowane offline wobec oficjalnego schematu z CRD
v1.21.0 z additionalProperties=false — literowka w nazwie pola zostalaby
zlapana. `kubectl kustomize` przechodzi dla obu profili (bazowego i swisseph).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

astrololo/presentation.yaml

@@ -30,6 +30,13 @@ spec:
               value: "astrololo"
             - name: RATE_LIMIT_PER_MIN
               value: "120"                       # 0 = bez limitu
+            # Aplikacja stoi za Ingressem, więc bezpośrednim rozmówcą jest zawsze
+            # pod Traefika. Bez tego limit żądań liczyłby WSZYSTKICH do jednego
+            # wiadra i pierwsza osoba, która go wyklika, odcięłaby pozostałych.
+            # Włączać wyłącznie gdy ruch faktycznie idzie przez proxy — inaczej
+            # nagłówek staje się furtką do ominięcia limitu.
+            - name: TRUST_PROXY
+              value: "true"
           resources:
             requests: { cpu: "100m", memory: "128Mi" }
             limits:   { cpu: "300m", memory: "256Mi" }
@@ -40,7 +47,10 @@ metadata:
   name: presentation
   namespace: astrololo
 spec:
-  type: NodePort                                  # wejście z przeglądarki
+  # Wejście z przeglądarki idzie teraz WYŁĄCZNIE przez Ingress po https
+  # (ingress.yaml). NodePort był drugą, nieszyfrowaną drogą do środka — czyli
+  # obejściem całego PRE-16 — więc znika.
+  type: ClusterIP
   selector: { app: presentation }
   ports: [{ port: 8000, targetPort: 8000 }]