Exposer et enregistrer le profil complet dans GET /me, PATCH /me et /config #385

Contexte

Epic : #6
Maquette : sans objet — API seule
API › Compte · API › Découverte (/config) · Compte-et-Monetisation · Modele-de-Donnees · E-09 · D-023
Issu du découpage de #38 (décision de Paul du 2026-10-13). La migration du profil (#126, PR #381 fusionnée le 2026-10-13) a créé les colonnes et tables ; ce ticket les expose et les enregistre. L'écran qui les consomme est #387.

Comportement attendu

• PATCH /me accepte, en plus des champs actuels (prénom, avatar, isPublic) : bio (150 caractères), neighborhood (facultatif), anecdotes (liste ordonnée [{ questionKey, answer }], 3 au plus, question unique parmi les questions actives, réponse de 150 caractères) et featuredRouteIds (3 au plus, ordonnés) ; le tout enregistré en une transaction ; 422 validation_error sinon.
• Règle D-023 des parcours à la une (note MANAGER du 2026-10-13 sur Implémenter la connexion (E-10), le profil (E-09) et la suppression de compte #38) : featuredRouteIds n'accepte que des parcours publiés dont l'appelant est l'auteur ; la lecture fait la jointure sur routes.status = 'published' et routes.author_id = user_id, pour ne jamais renvoyer un parcours sorti de published même si sa ligne n'a pas encore été supprimée (suppression aux transitions : Gérer PUT /routes/:id/steps, submit, statuts et lien privé #48, Admin : lieux, parcours, import CSV et tableau de bord (A-04, A-05) #55, Construire la file de modération et ses endpoints (A-02) #53).
• GET /me renvoie le profil complet : bio, quartier, anecdotes (avec libellé de la question), parcours à la une (ordonnés), certification (critères avec valeur, seuil et état), en plus de ce qu'il renvoie déjà.
• GET /config expose les questions d'anecdote actives (clé, libellé, ordre) et les seuils publics de la certification.
• locale et notificationPrefs restent portés par Migration : users.locale, users.notification_prefs, PATCH /me et POST /me/devices avec la langue #197 ; DELETE /me par Aligner la suppression de compte sur D-025 et permettre la réinscription #128. Aucun événement produit dans ce ticket.

Critères d'acceptation

• PATCH /me enregistre bio, quartier, anecdotes et parcours à la une en une transaction, et GET /me renvoie les valeurs enregistrées
• 422 sur : bio ou réponse de plus de 150 caractères, plus de 3 anecdotes, question en double ou inactive, plus de 3 parcours à la une, parcours non publié ou d'un autre auteur
• Un échec de validation ne modifie aucun champ (transaction annulée), test à l'appui
• GET /me n'affiche jamais un parcours à la une sorti de published, test à l'appui
• GET /config liste les questions actives dans l'ordre, sans les inactives
• Schémas OpenAPI à jour, types partagés dans packages/shared

Notes techniques

Nouveau comportement d'un endpoint authentifié, données persistées : niveau 2 probable, revue OWASP ciblée (contrôle d'accès sur les parcours à la une, validation des entrées).