onboard: le chiavi dei server in known_hosts, e verifica dice perche' non entri

Marco Laterza, amministratore, si e' visto dire "produzione: non entri
(normale se non hai il ruolo di rilascio...)" con la chiave gia' sul
server: al suo PC mancava la chiave host della macchina nuova, e con
BatchMode=yes ssh rifiuta un host sconosciuto senza provare la chiave.

configura.sh scrive in ~/.ssh/known_hosts le chiavi di server.known_hosts,
lette sulle tre macchine l'08/10/2026, togliendo prima quelle vecchie per
gli stessi nomi. verifica.sh legge l'errore di ssh: giallo solo se il
server rifiuta la chiave personale, rosso con il rimedio per chiave host
mancante o cambiata e per il blocco dopo troppi tentativi.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -119,7 +119,8 @@ spiegala in una riga la prima volta.
    dal campo di testo della scheda `AWS > Nome Cognome`; crea l'accesso a
    Gitea, configura git, genera la chiave SSH e la carica sul suo profilo
    Gitea (da lì la prende l'amministratore: **non va mandata a nessuno**),
-   scrive i nomi dei server in `~/.ssh/config`. Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC
+   scrive i nomi dei server in `~/.ssh/config` e le loro chiavi in
+   `~/.ssh/known_hosts` (da `server.known_hosts`). Gitea viene prima apposta: è lui a dire chi è la persona. Se sul PC
    c'è già una chiave AWS **di un altro** (rimasta da chi lo usava, o copiata
    da un collega), lo script lo dice e chiede la sua: dille di avvisare
    l'amministratore, perché quella chiave va disattivata. Una chiave altrui
@@ -158,4 +159,10 @@ Dillo alla persona, invece di farle scoprire un rosso inspiegabile:
   `~/.ssh/config` ci sono `oto-production` (la macchina nuova, dietro la VPN
   come staging, utente `admin.produzione`) e `oto-production-old` (quella
   dove girano ancora i siti). Chi ha il ruolo di rilascio entra in tutte e
-  due; per gli altri sono gialle tutte e due, ed è normale.
+  due; per gli altri sono gialle tutte e due, ed è normale. Giallo vuol
+  dire solo "il server non accetta la tua chiave": se una riga è rossa il
+  ruolo non c'entra, e `verifica.sh` dice cosa fare (di solito rilanciare
+  `configura.sh`, che registra le chiavi dei server). Se ssh chiede *Are you
+  sure you want to continue connecting?*, non far rispondere `yes` alla
+  cieca: le chiavi giuste sono in `server.known_hosts`, e le registra
+  `configura.sh`.