diff --git a/grafana/templates/ingress-public.yaml b/grafana/templates/ingress-public.yaml
new file mode 100644
index 0000000..8a37a5e
--- /dev/null
+++ b/grafana/templates/ingress-public.yaml
@@ -0,0 +1,33 @@
+# Exposition PUBLIQUE grafana.arcodange.fr, EN PLUS du .lab interne (qui reste
+# inchangé derrière son middleware localIp@file). Pattern kadans
+# (chart/templates/ingress-public.yaml) : entrypoint `web` — le TLS est terminé
+# en amont par le tunnel Cloudflare (wildcard *.arcodange.fr →
+# traefik.kube-system.svc:80, cf. cms/cloudflare module cf_tunnel) — et
+# middleware crowdsec (WAF/bouncer, convention .fr).
+# Pas de basic-auth ici, contrairement à kadans : Grafana a sa propre
+# authentification (login requis, pas d'accès anonyme dans grafana.ini).
+#
+# NB : ce chart grafana est en mode `tool.kind: SubChart`, donc les templates
+# helm-chart*.yaml ne rendent rien ; ce fichier, lui, est rendu tel quel et
+# appliqué par ArgoCD (app `grafana`, destination namespace `tools`).
+apiVersion: networking.k8s.io/v1
+kind: Ingress
+metadata:
+  name: grafana-public
+  namespace: tools
+  annotations:
+    traefik.ingress.kubernetes.io/router.entrypoints: web
+    traefik.ingress.kubernetes.io/router.middlewares: kube-system-crowdsec@kubernetescrd
+spec:
+  ingressClassName: traefik
+  rules:
+    - host: grafana.arcodange.fr
+      http:
+        paths:
+          - path: /
+            pathType: Prefix
+            backend:
+              service:
+                name: grafana
+                port:
+                  number: 80