fix(k8s): Ingress nur noch ueber Cloudflare erreichbar

Middleware cloudflare-only (ipAllowList: Cloudflare-IPs und private Netze)
vor die HTTPS-Umleitung gesetzt, wie live im Cluster seit 2026-10-12.
Direkte Zugriffe auf den Origin an Cloudflare vorbei bekommen 403.
Die Middleware selbst liegt in rke2-cluster/security.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/06-ingress.yaml

@@ -72,7 +72,14 @@ metadata:
     # ports.web.redirectTo.port=websecure), sind diese Zeile UND die
     # Middleware am Ende der Datei ueberfluessig. Der Namespace-Praefix im
     # Wert ist Pflicht — Traefik loest den Namen sonst nicht auf.
-    traefik.ingress.kubernetes.io/router.middlewares: wabenhain-redirect-to-https@kubernetescrd
+    #
+    # "cloudflare-only" steht bewusst an erster Stelle: wabenhain.com laeuft
+    # ueber den Cloudflare-Proxy, direkte Zugriffe auf den Origin (an
+    # Cloudflare und damit an WAF und Rate-Limits vorbei) beantwortet Traefik
+    # mit 403. Erlaubt sind nur Cloudflare-IPs und private Netze. Die
+    # Middleware liegt nicht in diesem Repo, sondern in
+    # rke2-cluster/security/cloudflare-only-middlewares.yaml (Stand 2026-10-12).
+    traefik.ingress.kubernetes.io/router.middlewares: wabenhain-cloudflare-only@kubernetescrd,wabenhain-redirect-to-https@kubernetescrd
 spec:
   # Muss zur IngressClass der Traefik-Installation passen. Das offizielle
   # Helm-Chart legt sie als "traefik" an; mit "kubectl get ingressclass"