diff --git a/docs/DNS-OG-INFRASTRUKTUR.md b/docs/DNS-OG-INFRASTRUKTUR.md
index 77ca540..7c03c20 100644
--- a/docs/DNS-OG-INFRASTRUKTUR.md
+++ b/docs/DNS-OG-INFRASTRUKTUR.md
@@ -97,6 +97,8 @@ gcloud compute ssl-certificates describe NAVN-cert \
 | User type | **External** |
 | Test-brukere | `chris.christiansen@vauco.no` |
 | IAP IAM | `chris.christiansen@vauco.no` → `roles/iap.httpsResourceAccessor` |
+| IAP IAM | `jason-vauger@propane-will-491900-m5.iam.gserviceaccount.com` → `roles/iap.httpsResourceAccessor` (lagt til 2026-06-17) |
+| IAP backend | `opax.vauco.no` → `osvauco-agent-iap-backend` (ikke `vauco-os-backend`). DNS: `34.98.77.173` → `osvauco-agent-url-map` → `osvauco-agent-iap-backend` |
 
 > Testing-status med External er korrekt og trygt for intern bruk.
 > Maks 100 test-brukere — mer enn nok for Vauco OS.
diff --git a/docs/HANDOFF.md b/docs/HANDOFF.md
index cbd57ac..283abe6 100644
--- a/docs/HANDOFF.md
+++ b/docs/HANDOFF.md
@@ -124,3 +124,6 @@ opax-mcp (Cloud Run — 25 tools)
 ---
 
 *Jason Vauger — han blir den du trenger han til å bli.*
+
+## NESTE OPPGAVE
+Verifiser full agent-loop: Jason mottar spørsmål → kaller opax-mcp → får svar fra opax.vauco.no uten feil.
diff --git a/docs/LEARNINGS.md b/docs/LEARNINGS.md
index dcca199..c73d001 100644
--- a/docs/LEARNINGS.md
+++ b/docs/LEARNINGS.md
@@ -164,3 +164,20 @@ Kontekst: MASTERPLAN #4 viste C1b som "IN PROGRESS" (DNS-endring). DNS hadde væ
 Lærdom: Dokumenter divergerer fra virkelighet. Statuser i MASTERPLAN/issues er ikke self-updating.
 Regel: Spør alltid Chris om usikker status fremfor å anta. Grunnregel: ground truth > dokument.
 Implementert i: `docs/MASTERPLAN.md` — C1b markeres done
+
+---
+
+### LEARNING-016: opax.vauco.no bruker osvauco-agent-iap-backend, ikke vauco-os-backend
+Dato: 2026-06-17
+Kontekst: IAP-binding ble forsøkt lagt til vauco-os-backend fordi vauco-os-urlmap bruker
+  den som defaultService. Men opax.vauco.no DNS A-record peker til 34.98.77.173 som er
+  osvauco-agent-forwarding-rule, ikke vauco-os (34.144.224.45).
+  Fasit: opax.vauco.no -> 34.98.77.173 -> osvauco-agent-url-map -> osvauco-agent-iap-backend.
+  Den opprinnelige IAP-bindingen (steg 3) var korrekt.
+Lærdom: Backend-navn i GCP matcher ikke nødvendigvis subdomene-navn.
+Regel: Ved IAP-binding: sjekk DNS A-record -> forwarding rule IP -> url-map -> backend.
+  Ikke anta fra URL-map-navn. Bruk:
+    1. nslookup <domene>  # finn IP
+    2. gcloud compute forwarding-rules list --global  # match IP -> url-map
+    3. gcloud compute url-maps describe <url-map> --global | grep defaultService
+Implementert i: docs/DNS-OG-INFRASTRUKTUR.md oppdatert med korrekt routing-kart