fix(profil): photo CDN avec Bearer OAuth et doc soutenance

Charge les avatars depuis cdn.intra.42.fr avec le même access token,
parse image.versions, et documente le flux pour la correction.

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/pedagogie/etape-04-vue-profil.md

@@ -6,7 +6,7 @@
 
 | Exigence | Cette étape |
 |----------|-------------|
-| ≥ 4 infos + photo | login (titre / avatar), email, téléphone, niveau cursus, localisation, wallet |
+| ≥ 4 infos + photo | login (titre / avatar), email, téléphone, niveau cursus, localisation, wallet — photo : URL API puis GET CDN avec Bearer (`_IntraProfileAvatar`) |
 | Skills | Niveau entier + **pourcentage** (partie décimale du `level` API) |
 | Projets | Statuts **`finished`** et **`failed`** |
 | Erreurs | Réseau, 401, réponse API inattendue — message + réessai |
@@ -46,6 +46,14 @@ Accept: application/json
 
 **Confidentialité :** certains champs peuvent être masqués par l’API selon le profil consulté — afficher `—` si absent (sujet OAuth).
 
+### Photo de profil
+
+1. **URL** : extraite du JSON user (`_imageUrl` dans `profile_screen.dart`) — `image.link`, puis `image.versions`, puis `image_url`.
+2. **Fichier** : `GET` sur `cdn.intra.42.fr` avec `Authorization: Bearer` (`IntraAuthService.cdnImageHeaders`) — le CDN refuse souvent les requêtes sans token.
+3. **UI** : widget `_IntraProfileAvatar` (bytes en mémoire + `CircleAvatar`) ; sinon initiale du login.
+
+Détail oral : [fiche-soutenance-orale.md](fiche-soutenance-orale.md) §5 « Photo de profil ».
+
 ### Skills — niveau et pourcentage
 
 L’API renvoie un `level` flottant (ex. `8.42`) :