Merci @blake. C’est ma faute de ne pas avoir encodé le signe + dans la chaîne de requête, ce qui a provoqué la réponse vide. Avec le bon encodage, les résultats attendus ont été retournés.
Je suppose que la même raison s’applique à admin/users/list/all.json?email, même si cela n’apparaît pas dans la documentation.