Je me réponds à moi-même : j’ai trouvé 
. Mon problème était que j’avais activé l’authentification digest/basic pour ONVIF mais pas pour tout le système (voir le screenshot).
Alors pour la postérité (et la documentation @lunarok ?), ce que j’ai compris (pour le plugin camera et le plugin hikvision):
- Activer la securité digest/basic dans System/Security comme l’image ci-dessus
- Activer Onvif dans Network / Advanced Settings / Advanced Protocol
- au meme endroit selectionner l’authentification digest/basic
- au meme endroit ajouter un utilisateur ONVIF (je l’ai mis operateur)
- Dans System / User Management, ajouter un utilisateur (=> comme je ne suis pas sûr de quel API utilise quel utilisateur, j’ai mis le meme login et mdp que celui d’onvif. C’est moins sécurisé mais ca marche)
- Cet utilisateur DOIT AVOIR LES droits Remote : Notify Surveillance Center. S’il ne les a pas lui donner
- Pour chaque évènement, dans linkage method cocher la case notify surveillance center
Bref, HikVision super caméras, on voit que c’est du matériel de pro… il faut accepter de passer un peu de temps en set-up.
PS: et j’ai lu que ONVIF ne supportait pas H265 ni H264+. Par défaut j’étais en H264 anyway donc pas essayé.
Et l’URL de snapshot que j’utilise est /Streaming/channels/1/picture