fix(config): refuser file:// et userinfo dans le contrat d'endpoint

Retire le schéma file du contrat ExternalEndpoint (CalDAV, Pronote iCal, Blog RSS) : seuls https et le loopback http CalDAV explicite restent acceptés. Rejette les URLs contenant userinfo. Ajoute hide_input_in_errors aux Settings. Réécrit les fixtures file:// en https mocké et ajoute une matrice de tests paramétrée du contrat.

Refs #63

tests/unit/test_blog_client.py

@@ -55,14 +55,15 @@ def real_parsed_feed(blog_rss_fixture_path: Path) -> feedparser.FeedParserDict:
 
 
 @pytest.fixture
-def blog_client(blog_rss_fixture_path: Path) -> BlogRSSClient:
-    """Instance de BlogRSSClient pointant vers le fixture local.
+def blog_client() -> BlogRSSClient:
+    """Instance de BlogRSSClient pointant vers une URL HTTPS non-réseau.
+
+    Les tests mockent ``requests.get`` : aucune requête réelle n'est émise.
 
-    :param blog_rss_fixture_path: Chemin vers le fichier fixture.
     :return: Instance de BlogRSSClient.
     :rtype: BlogRSSClient
     """
-    return BlogRSSClient(rss_url=f"file://{blog_rss_fixture_path}")
+    return BlogRSSClient(rss_url="https://example.com/blog/feed")
 
 
 # --- Helper functions for mocking ---