Exposer GET /users/:id/profile pour le profil public de créateur (E-16) #471

Contexte

Epic : #6
Maquette : E-16 · validée le 2026-09-24 (ticket API : la maquette fixe les données affichées)
API › Découverte (ligne GET /users/:id/profile) · Compte-et-Monetisation › Profil public · Ecrans › E-16 · E-16 · D-023, D-025, D-056, D-091

#65 porte l'écran E-16 (PR brouillon #469) et, dans son « Comportement attendu », l'endpoint GET /users/:id/profile, qui n'existe pas dans apps/api (découverte de CODE). Sans lui, l'app affiche « Ce profil n'est pas disponible » pour tout créateur, et les critères 404 de #65 ne peuvent pas être tenus. Ce ticket porte la part API ; #65 est bloqué par lui.

Comportement attendu

• GET /v1/users/:id/profile, public, jeton facultatif (cards dépendantes de l'appelant, D-075, comme /routes/search), selon la ligne de la page API : avatar, prénom, membre depuis, quartier, bio ; certified et certification (critères avec valeur, seuil et état) ; chiffres routesPublished, routesCompleted, ratingAvg, verifiedPlaces (chacun null s'il n'existe pas, verifiedPlaces null à zéro, D-056) ; anecdotes dans l'ordre (questionKey, libellé, réponse) ; parcours à la une dans l'ordre, en cards ; parcours publiés en cards, query sort=recent|rating|duration, moods[], cursor ; moodCounts pour les chips.
• 404 not_found si is_public = false, si le compte est supprimé (anonymisé ou purgé, D-025) ou inconnu : même réponse dans les trois cas.
• Un compte supprimé n'a plus de lien vers un profil : ses parcours publiés gardent author: null dans les cards et la fiche (« Membre Widoo », D-025), sans identifiant qui mènerait à /users/:id/profile.
• Seuls les parcours publiés du créateur apparaissent : ni brouillon, ni privé, ni retiré.
• Forme de réponse : reprendre le schéma PublicProfile de packages/shared/src/schemas/public-profile.ts posé par la PR feat(mobile): afficher le profil public de créateur (E-16) #469, ou le corriger dans la même PR que l'endpoint s'il s'écarte de la page API.

Critères d'acceptation

• Tests d'intégration : profil public complet (identité, chiffres, anecdotes, à la une, parcours) conforme au schéma partagé
• Tests : 404 pour un profil masqué, pour un compte supprimé et pour un identifiant inconnu, réponse identique
• Tests : parcours publiés en cards, triés par recent, rating et duration, filtrés par moods[], paginés par cursor sans doublon ni trou ; brouillons, privés et retirés absents
• Tests : moodCounts compte les parcours publiés par ambiance ; verifiedPlaces compte les lieux distincts confirmés et vaut null à zéro
• Test : après DELETE /me, le profil répond 404 et les cards de ses parcours publiés ont author: null
• Ligne GET /users/:id/profile de la page API vérifiée contre la réponse livrée ; tout écart signalé sur l'Inbox 📥 Inbox — Triage #4

Notes techniques

• Réutiliser la certification de apps/api/src/users/certification.ts et la card de recherche de /routes/search.
• routesCompleted et le critère « parcours réalisés » de la certification viennent du calcul de Calculer les parcours réalisés depuis les sorties terminées #423 (sorties d'autres utilisateurs sur ses parcours, D-091). Si Calculer les parcours réalisés depuis les sorties terminées #423 n'est pas fusionné au démarrage, routesCompleted vaut null ; le dire dans la PR.
• Hors périmètre : le profil de Widoo (compte d'équipe sans identifiant dans les cards, Inbox), en attente de DESIGN ; l'accès du propriétaire à son profil masqué (Exposer à mon profil (E-09) mes parcours publiés, leurs ambiances et mes lieux vérifiés #421).
• Nouvel endpoint public qui lit des données de comptes : revue OWASP (A01, exposition de profils masqués ou supprimés) et niveau à annoncer dans la PR.