fix(auth): corriger les retours de revue du PIN Pronote

.env.example

@@ -22,7 +22,8 @@ PRONOTE_AUTH_MODE=password
 # Le QR code expire ~10 minutes après génération
 # PRONOTE_AUTH_MODE=qr_token
 # PRONOTE_QR_CODE_FILE=/path/to/qr_code.json
-# PRONOTE_QR_PIN=1234
+# PRONOTE_QR_PIN=
+# Valeur à définir localement dans .env ; ne jamais la committer.
 # PIN de second facteur du compte Pronote, distinct du PIN de déchiffrement du QR code
 # PRONOTE_ACCOUNT_PIN=
 
@@ -34,7 +35,7 @@ CALDAV_CALENDAR_PATH=/pronote-sync/
 # Autoriser HTTP (non-HTTPS) pour un serveur CalDAV local (localhost uniquement)
 CALDAV_ALLOW_INSECURE_HTTP=false
 
-# Fenêtre de synchronisation (jours)
+# Fenêtre de synchronisation (jours) — entier >= 0 ; 0 = aucune journée supplémentaire de ce côté (le jour courant reste inclus). Valeurs négatives refusées au chargement (ValidationError).
 SYNC_PAST_DAYS=7
 SYNC_FUTURE_DAYS=30
 
@@ -68,6 +69,13 @@ AI_BASE_URL=https://api.openai.com/v1
 # AI_API_KEY=
 # AI_MODEL=gpt-4o-mini  # exemple recommandé, non activé par défaut
 
+# NOTE : la validation structurelle de AI_BASE_URL s'applique à TOUS les
+# providers (openai, litellm, openai-compatible) : HTTPS obligatoire sauf si
+# AI_ALLOW_INSECURE_HTTP=true, aucun credential embarqué (user:pass@hôte),
+# aucun paramètre sensible dans la query string (token, key, api_key,
+# secret, password, auth), et aucune manipulation automatique de /v1.
+# Seul le provider openai-compatible exige AI_BASE_URL et AI_MODEL.
+
 # Exemple : OpenRouter (HTTPS)
 # AI_PROVIDER=openai-compatible
 # AI_BASE_URL=https://openrouter.ai/api/v1