feat(alerting): livraison Telegram des alertes via Alertmanager

Les règles d'alerte `prospection` s'évaluaient déjà dans Prometheus mais ne
notifiaient nulle part. On câble Alertmanager pour livrer les alertes sur le bot
Telegram de prospection, via `telegram_configs` natif d'Alertmanager.

- iac Vault : policy read-only `alertmanager-telegram` sur
  kvv2/data/prospection/telegram + rôle k8s `alertmanager` (SA
  prometheus-alertmanager, ns tools).
- VSO : VaultAuth + VaultStaticSecret resynchronisent kvv2/prospection/telegram
  vers un Secret `alertmanager-telegram` dans le ns tools (le Secret prospection
  est namespace-scoped, non réutilisable). rolloutRestartTargets sur le
  StatefulSet Alertmanager.
- prometheus values : lien server -> Alertmanager (prometheus-alertmanager:9093),
  route + receiver `telegram` (bot_token_file monté, chat_id inline, parse_mode
  HTML, send_resolved), et montage du Secret via extraSecretMounts.

Additif : ni grafana ni les règles d'alerte existantes ne sont touchés.

Co-Authored-By: Claude Opus 4.8 <[email protected]>

prometheus/values.yaml

@@ -612,8 +612,11 @@ prometheus: &prometheus_config
     podLabels: {}
 
     ## Prometheus AlertManager configuration
-    ##
-    alertmanagers: []
+    ## Lien Prometheus -> Alertmanager (service du sous-chart, ns tools).
+    alertmanagers:
+      - static_configs:
+          - targets:
+              - prometheus-alertmanager:9093
 
     ## Use a StatefulSet if replicaCount needs to be greater than 1 (see below)
     ##
@@ -1233,6 +1236,36 @@ prometheus: &prometheus_config
     ##
     enabled: true
 
+    ## Configuration Alertmanager : livraison native Telegram (bot prospection).
+    ## Le token est lu depuis le fichier monté via extraSecretMounts (Secret
+    ## alertmanager-telegram, synchronisé par VSO — cf. templates/vault-telegram.yaml).
+    ## chat_id est public (non sensible), donc inline.
+    config:
+      enabled: true
+      global: {}
+      templates:
+        - /etc/alertmanager/*.tmpl
+      route:
+        group_by: ["alertname", "app"]
+        group_wait: 30s
+        group_interval: 5m
+        repeat_interval: 3h
+        receiver: telegram
+      receivers:
+        - name: telegram
+          telegram_configs:
+            - bot_token_file: /etc/alertmanager/telegram/BOT_TOKEN
+              chat_id: 7497777082
+              parse_mode: HTML
+              send_resolved: true
+
+    ## Montage du token du bot dans le pod Alertmanager (fichier BOT_TOKEN).
+    extraSecretMounts:
+      - name: telegram
+        mountPath: /etc/alertmanager/telegram
+        secretName: alertmanager-telegram
+        readOnly: true
+
     persistence:
       ## If true, storage will create or use Persistence Volume
       ## If false, storage will use emptyDir