cert-manager: el reto HTTP-01 devuelve 308 (falta ingressClassName en el solver) y otros fallos del self-check
ingressClassName: nginx dentro de solvers.http01.ingress y borra el Challenge atascado. Si el self-check no llega a la IP pública desde dentro del clúster, es NAT reflection o split DNS, no cert-manager.