diff --git a/CLAUDE.md b/CLAUDE.md
index 950f30b..613bf17 100644
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -4,7 +4,7 @@ Chi ti parla è una persona **nuova in OTO**, spesso non tecnica, al primo
 giorno. Ti ha scritto qualcosa come «prepara il mio PC per OTO» e ha in mano
 la mail *I tuoi accessi OTO* che le ha mandato chi amministra (link,
 utenti, password, la frase per te) e, su LastPass, la chiave AWS e, se
-sviluppa, la VPN. **Il lavoro
+le serve, la VPN. **Il lavoro
 lo fai tu**: installi i programmi, lanci i controlli, le dici cosa cliccare.
 Lei fa solo quello che tu non puoi fare: i login nel browser, e scrivere i
 propri segreti nel terminale. Parla semplice, un passo alla volta, e controlla
@@ -65,34 +65,32 @@ La spiegazione per le persone sta in
 
 Capisci da solo se sei su Windows o su Mac (`uname -s`, `$OS`): non chiederlo.
 
-## Prima domanda: qual è il suo caso
+## Non le chiedi che lavoro fa
 
-- **modifica testi e immagini solo dal pannello** (o dall'area di
-  amministrazione di WordPress/Drupal): non le serve niente di questo
-  repository. Diglielo e fermati.
-- **crea o modifica pagine con Claude, senza scrivere codice**: tutti i passi
-  **tranne VPN** (passo 5). `verifica.sh` segnerà rossi VPN e staging: dille
-  che per lei è normale.
-- **sviluppa**: tutti i passi.
+Lo ha già deciso chi amministra (deciso il 07/10/2026): se la persona ha la
+mail, le servono tutti i passi; se su LastPass ha anche la nota *VPN*, le
+serve anche la VPN. Chi lavora solo dal pannello del sito non riceve la mail
+e non arriva qui. Alla VPN (passo 5) le chiedi soltanto se fra le note
+LastPass condivise con lei ce n'è una che si chiama *VPN*: se no, salti il
+passo, e `verifica.sh` segnerà rossi VPN e staging: dille che per lei è
+normale.
 
-Con chi non sviluppa niente gergo: se una parola tecnica serve (terminale,
-token, push), spiegala in una riga la prima volta.
+Niente gergo: se una parola tecnica serve (terminale, token, push),
+spiegala in una riga la prima volta.
 
 ## L'ordine
 
 1. **Programmi.** Servono git, la AWS CLI, Docker, curl e ssh. Installa
    quello che manca:
    - **Windows**: `winget install -e --id Git.Git`, `Amazon.AWSCLI`,
-     `Docker.DockerDesktop` e, per chi sviluppa,
-     `OpenVPNTechnologies.OpenVPNConnect`. Docker vuole WSL2: `wsl --install`, poi un
+     `Docker.DockerDesktop`. Docker vuole WSL2: `wsl --install`, poi un
      riavvio. Windows chiederà conferma (finestra *Sì/No*): avvisa prima che
      arriva e che va cliccato *Sì*. Dopo un'installazione il `PATH` nuovo lo
      vede solo un terminale nuovo.
    - **Mac**: prima Homebrew. Il suo installatore chiede la password del Mac,
      quindi quel comando lo lancia la persona nel Terminale:
      `/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"`.
-     Poi tu: `brew install git awscli` e `brew install --cask docker`
-     (per chi sviluppa anche `brew install --cask openvpn-connect`).
+     Poi tu: `brew install git awscli` e `brew install --cask docker`.
    - Docker Desktop va **aperto una volta** a mano e le condizioni accettate:
      finché non lo si fa, `docker info` non risponde.
 2. **Questo repository sul PC**, se ci stai parlando da un link e non da
@@ -119,8 +117,10 @@ token, push), spiegala in una riga la prima volta.
    l'amministratore, perché quella chiave va disattivata. Una chiave altrui
    non va mai tenuta "intanto che funziona": tutto quello che la persona fa
    su AWS risulterebbe fatto dall'altro.
-5. **VPN** (solo chi sviluppa). OpenVPN Connect l'hai già installato tu; lei,
-   un passo alla volta: apre la nota VPN su LastPass e scarica il file
+5. **VPN**, solo se su LastPass ha la nota *VPN* (chiediglielo). Prima
+   installi tu OpenVPN Connect: su Windows
+   `winget install -e --id OpenVPNTechnologies.OpenVPNConnect`, su Mac
+   `brew install --cask openvpn-connect`. Poi lei, un passo alla volta: apre la nota VPN su LastPass e scarica il file
    `.ovpn` allegato; apre OpenVPN Connect → *Upload File* (o *Import
    Profile* → *File*) → *Browse* → il file in *Download*; scrive utente e
    password della VPN dalla stessa nota, spunta *Save password*, *Connect*.