fix(security): NetworkPolicy der App an Namespace und Label binden

Nur Label-Abgleich ueber alle Namespaces liess jeden Pod mit Label
app.kubernetes.io/name=traefik zu. Jetzt muss zusaetzlich der Namespace
traefik oder kube-system sein (Namespace-Namen sind nicht faelschbar).

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/07-networkpolicy.yaml

@@ -1,6 +1,7 @@
 # Datenbank nur fuer App und Worker erreichbar; App nur ueber Traefik.
-# Traefik wird am Pod-Label erkannt, egal in welchem Namespace es laeuft
+# Traefik wird an Namespace (traefik oder kube-system) UND Pod-Label erkannt
-# (eigene Installation "traefik" oder RKE2-Paket "rke2-traefik").
+# (eigene Installation "traefik" oder RKE2-Paket "rke2-traefik"). Laeuft
+# Traefik in einem anderen Namespace: dessen Namen unten ergaenzen.
 # Pruefen: kubectl get pods -A -l 'app.kubernetes.io/name in (traefik,rke2-traefik)'
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
@@ -30,7 +31,13 @@ spec:
       app: artista-modelcamp-app
   ingress:
     - from:
-        - namespaceSelector: {}
+        # Namespace UND Pod-Label muessen passen: ein Label allein koennte
+        # jeder setzen, der irgendwo Pods starten darf.
+        - namespaceSelector:
+            matchExpressions:
+              - key: kubernetes.io/metadata.name
+                operator: In
+                values: [traefik, kube-system]
           podSelector:
             matchExpressions:
               - key: app.kubernetes.io/name