diff --git a/CLAUDE.md b/CLAUDE.md
index 0543741..c68a0cd 100644
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -6,7 +6,7 @@ la mail *I tuoi accessi OTO* che le ha mandato chi amministra (link,
 utente, email, la frase per te, **nessuna password**) e, su LastPass, due
 schede condivise con lei: `AWS > Nome Cognome` (console, MFA e, nel campo di
 testo, la chiave di accesso) e `Gitea > nome.cognome` (password Gitea), più
-la scheda *VPN* se le serve. **Il lavoro
+la scheda `OTO > VPN HK nome.cognome` se le serve la VPN. **Il lavoro
 lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare.
 Lei fa solo quello che tu non puoi fare: scrivere i propri segreti nel
 terminale e, se le serve, accendere la VPN. Parla semplice, un passo alla volta, e controlla
@@ -58,7 +58,7 @@ La spiegazione per le persone sta in
 | Chiave di accesso AWS (*Access key ID* e *Secret access key*) | su **LastPass**, scheda **`AWS > Nome Cognome`**, nel **campo di testo**: due righe, *Access key ID* (inizia con `AKIA`) e *Secret access key*. Nella mail non c'è, apposta: la crea chi amministra insieme all'utente. Solo se lì non c'è (è arrivata prima, o la chiave è stata cancellata), la crea lei: console AWS → il suo nome in alto a destra → *Security credentials* → riquadro *Access keys* → *Create access key* → *Command Line Interface (CLI)* → spunta la conferma → *Next* → *Create access key*. I due pezzi sono nella pagina *Retrieve access keys*; la Secret si vede con *Show*, una volta sola. Se l'ha chiusa: cancella quella chiave dallo stesso riquadro e ne crea un'altra |
 | Utente Gitea | è nella mail (`nome.cognome`); su Gitea lo vede in alto a destra, cliccando l'icona del profilo |
 | Email di lavoro | il suo indirizzo `@oto.agency` |
-| File e credenziali della VPN | in una **scheda LastPass *VPN*** condivisa da chi amministra: il file `.ovpn` è allegato alla scheda (*Attachments* → si scarica, finisce in *Download*), utente e password della VPN sono scritti nella scheda. Il programma è **OpenVPN Connect**, lo installi tu. Se la scheda non c'è, lo chiede a chi amministra |
+| File e credenziali della VPN | nella **scheda LastPass `OTO > VPN HK nome.cognome`** condivisa da chi amministra: il file `.ovpn` è allegato alla scheda (*Attachments* → si scarica, finisce in *Download*), utente e password della VPN sono scritti nella scheda. Il programma è **OpenVPN Connect**, lo installi tu. Se la scheda non c'è, lo chiede a chi amministra |
 | Password del Mac (per Homebrew) | è quella con cui accende il Mac |
 | Accesso a un progetto che non vede su Gitea | lo dà chi amministra: dille il nome del progetto da chiedere |
 
@@ -77,10 +77,10 @@ Capisci da solo se sei su Windows o su Mac (`uname -s`, `$OS`): non chiederlo.
 ## Non le chiedi che lavoro fa
 
 Lo ha già deciso chi amministra (deciso il 07/10/2026): se la persona ha la
-mail, le servono tutti i passi; se su LastPass ha anche la scheda *VPN*, le
+mail, le servono tutti i passi; se su LastPass ha anche la scheda `OTO > VPN HK nome.cognome`, le
 serve anche la VPN. Chi lavora solo dal pannello del sito non riceve la mail
-e non arriva qui. Alla VPN (passo 5) le chiedi soltanto se fra le note
-LastPass condivise con lei ce n'è una che si chiama *VPN*: se no, salti il
+e non arriva qui. Alla VPN (passo 5) le chiedi soltanto se fra le schede
+LastPass condivise con lei c'è `OTO > VPN HK nome.cognome`: se no, salti il
 passo, e `verifica.sh` segnerà rossi VPN e staging: dille che per lei è
 normale.
 
@@ -125,7 +125,7 @@ spiegala in una riga la prima volta.
    l'amministratore, perché quella chiave va disattivata. Una chiave altrui
    non va mai tenuta "intanto che funziona": tutto quello che la persona fa
    su AWS risulterebbe fatto dall'altro.
-5. **VPN**, solo se su LastPass ha la scheda *VPN* (chiediglielo). Prima
+5. **VPN**, solo se su LastPass ha la scheda `OTO > VPN HK nome.cognome` (chiediglielo). Prima
    installi tu OpenVPN Connect: su Windows
    `winget install -e --id OpenVPNTechnologies.OpenVPNConnect`, su Mac
    `brew install --cask openvpn-connect`. Poi lei, un passo alla volta: apre la scheda VPN su LastPass e scarica il file
diff --git a/README.md b/README.md
index 5b9daea..6bc69a2 100644
--- a/README.md
+++ b/README.md
@@ -17,7 +17,7 @@ scrivi le tue chiavi nel terminale, con il comando che ti da' Claude.
 L'utente e' nella mail *I tuoi accessi OTO* che ti ha mandato chi amministra;
 password e chiavi su LastPass, nelle schede condivise con te:
 `Gitea > nome.cognome` (password Gitea), `AWS > Nome Cognome` (chiave AWS nel
-campo di testo) e, se ti serve, *VPN*.
+campo di testo) e, se ti serve, `OTO > VPN HK nome.cognome`.
 
 ## Una regola
 
diff --git a/configura.sh b/configura.sh
index 264c0ae..69344fb 100755
--- a/configura.sh
+++ b/configura.sh
@@ -232,4 +232,4 @@ ok "ssh $STAGING_NOME, ssh $PRODUZIONE_NOME e ssh $PRODUZIONE_VECCHIA_NOME: conf
 # --------------------------------------------------------------------------
 titolo "Fatto"
 # --------------------------------------------------------------------------
-echo "  Ora: se su LastPass hai la scheda VPN, accendi la VPN (file e credenziali sono li'); poi torna da Claude."
+echo "  Ora: se su LastPass hai la scheda \"OTO > VPN HK ${UTENTE:-nome.cognome}\", accendi la VPN (file e credenziali sono li'); poi torna da Claude."