Mutating webhook
Extensão do admission controller do Kubernetes que consegue MODIFICAR objetos antes que sejam persistidos. Recebe o YAML de entrada, devolve um JSON patch. Move a injeção automática de sidecars (Istio Envoy, Vault Agent), labels padrão e injeção de secrets.
Executa depois da autenticação/autorização, mas antes da validação/persistência. O servidor do webhook precisa ser HTTPS + certificado em que o API server confie. Uso clássico: o Istio injeta o sidecar Envoy em todos os pods com istio-injection=enabled; o cert-manager cria um Secret a partir de um Certificate. Condição de corrida: vários mutating webhooks são ordenados alfabeticamente, e a ordem pode importar. Não é possível mutar o subresource Status. Failure-policy Fail|Ignore — Ignore é perigoso se o webhook for crítico para a segurança.