docs: aligner la documentation sur le contrat ExternalEndpoint

Documente le schéma *_ENDPOINT__URL unique, le statut déprécié des anciens noms et le refus de file:// et des credentials embarqués dans README.LLM.md, .env.example, GUIDE_DEV_PYTHON.md et docs/pronote-auth.md.

Refs #63

.env.example

@@ -1,7 +1,8 @@
 # --- Pronote ---
+# Endpoints externes : HTTPS uniquement (pas de fichier local file://).
 PRONOTE_ICAL_ENDPOINT__URL=https://college.ent/pronote/ical/Edt_Jean.ics?icalsecurise=REPLACE_ME&version=2024
 PRONOTE_ENDPOINT__URL=https://college.ent/pronote/parent.html
-# Anciens noms temporairement supportés avec un avertissement : PRONOTE_ICAL_URL, PRONOTE_URL
+# Anciens noms (alias obsolètes encore supportés avec un DeprecationWarning) : PRONOTE_ICAL_URL, PRONOTE_URL
 PRONOTE_ACCOUNT_TYPE=parent
 PRONOTE_USERNAME=parent.dupont
 PRONOTE_PASSWORD=your_secure_password
@@ -30,8 +31,9 @@ PRONOTE_AUTH_MODE=password
 
 # --- CalDAV ---
 # Endpoint commun (URL potentiellement sensible, masquée dans les journaux)
+# HTTPS uniquement ; HTTP n'est toléré que pour localhost avec CALDAV_ALLOW_INSECURE_HTTP=true.
 CALDAV_ENDPOINT__URL=https://caldav.example.com/calendars/user/pronote/
-# Ancien nom temporairement supporté avec un avertissement de dépréciation : CALDAV_URL
+# Ancien nom (alias obsolète encore supporté avec un DeprecationWarning) : CALDAV_URL
 CALDAV_USERNAME=user@example.com
 CALDAV_PASSWORD=your_caldav_password
 CALDAV_CALENDAR_PATH=/pronote-sync/
@@ -94,9 +96,10 @@ AI_BASE_URL=https://api.openai.com/v1
 # AI_ALLOW_INSECURE_HTTP=true
 
 # --- Blog ---
+# Endpoint externe : HTTPS uniquement (pas de fichier local file://).
 BLOG_ENABLED=false
 BLOG_ENDPOINT__URL=https://blogpeda.ac-bordeaux.fr/cjeliote/?feed=rss2
-# Ancien nom temporairement supporté avec un avertissement de dépréciation : BLOG_RSS_URL
+# Ancien nom (alias obsolète encore supporté avec un DeprecationWarning) : BLOG_RSS_URL
 
 # --- Divers ---
 DRY_RUN=false