El consejo más popular sobre WiFi es también el menos útil. "Activa WPA3" no te dice nada sobre quién puede seguir entrando, a qué puede acceder una vez conectado o con qué rapidez puedes eliminarlo cuando finaliza un contrato o un residente se muda.
Los tipos de seguridad WiFi importan, y algunos antiguos deben desactivarse hoy mismo. Sin embargo, una etiqueta WPA3 o un SSID de invitados independiente no garantizan por sí solos un acceso seguro. Evalúe cada red basándose en tres preguntas: ¿quién o qué se ha autenticado?, ¿a qué puede acceder esa identidad? y ¿con qué rapidez se puede revocar?
Comparativa de tipos de seguridad WiFi por nivel de protección y estado
En 2016, el Gobierno del Reino Unido aconsejó a las organizaciones que nunca desplegaran WEP, describiéndolo como criptográficamente débil, y desaconsejó el WPA original porque su protocolo TKIP era vulnerable a los ataques publicados de Beck-Tews y Ohigashi-Morii, lo que convirtió a WPA2 en el estándar práctico para el lugar de trabajo en la guía del Gobierno del Reino Unido sobre el uso compartido de redes inalámbricas en el lugar de trabajo. WEP, WPA con TKIP, WPA2 y WPA3 no son variaciones de lo mismo. Son generaciones sucesivas con una protección materialmente diferente.
| Tipo de seguridad | Nivel de protección | Estado en 2026 | Uso típico |
|---|---|---|---|
| Abierta (sin cifrado) | Ninguno, el tráfico se puede leer por el aire | No aceptable | En ningún lugar para tráfico corporativo |
| WEP | Criptográficamente vulnerado | Desactivar | Solo hardware antiguo, si acaso |
| WPA con TKIP | Ataques públicos conocidos | Desactivar | Ninguno |
| WPA2-Personal (PSK, AES-CCMP) | Sólido con una contraseña larga, una clave compartida por todos los usuarios | Línea base | Pequeñas oficinas, hogares, clientes antiguos mixtos |
| WPA3-Personal (SAE) | Resiste adivinación de contraseñas fuera de línea | Preferido si los clientes lo admiten | Hogares modernos y pequeñas oficinas |
| WPA2/WPA3-Enterprise (802.1X) | Credenciales por usuario o por dispositivo | Estándar para organizaciones | Personal y dispositivos gestionados |
| Passpoint / OpenRoaming | Inicio de sesión automático cifrado mediante EAP | En crecimiento, basado en certificación | Recintos, transporte, descarga de tráfico de redes móviles |
| iPSK | Clave única por dispositivo en un SSID | Práctico para dispositivos antiguos e IoT | Sector hotelero, residencial, IoT |
| Captive Portal en SSID abierto | Inicio de sesión web, enlace de radio sin cifrar | Débil por sí solo | Acceso de invitados, solo con aislamiento y TLS |
Protocolos obsoletos que deben eliminarse primero
Open, WEP y WPA con TKIP se encuentran en la misma categoría práctica, aunque fallen de diferentes maneras. Una red abierta no cifra nada a través del aire. WEP cifra de forma deficiente y TKIP mantiene vigente una serie de ataques publicados mucho tiempo después de que otros cifrados mejores se convirtieran en el estándar.
Las directrices británicas para consumidores y el sector público apuntan en la misma dirección. Se recomienda utilizar WPA2 o WPA3, se debe evitar el uso de WEP y WPA, y no se debe configurar una red como abierta sin cifrado, tal como se establece en los consejos sobre seguridad WiFi de la Information Commissioner's Office. Si encuentra cualquiera de estas tres opciones en un SSID activo, la decisión no es cuál de ellas ajustar. Es cuál es el tipo moderno que la reemplazará y qué hacer con los dispositivos que dependían de ella.
Tipos de clave compartida para hogares y sedes pequeñas
Tanto WPA2-Personal con AES-CCMP como WPA3-Personal con SAE se basan en una frase de paso que todo el mundo comparte. Ese modelo es viable cuando el grupo de usuarios es pequeño, estable y de confianza, como una casa o una pequeña oficina con pocas incorporaciones y salidas. Su debilidad aumenta como modelo operativo, no como criptografía, cuando docenas de empleados, contratistas, invitados o residentes conocen el mismo secreto.
Una frase de paso larga y única ayuda mucho a WPA2-Personal. Sin embargo, no proporciona una responsabilidad individual. Cuando alguien se marcha, la única revocación limpia pasa por cambiar la clave para todo el mundo y volver a conectar cada dispositivo legítimo.
Tipos basados en la identidad para organizaciones y recintos
WPA2/WPA3-Enterprise con 802.1X, Passpoint y OpenRoaming vinculan el acceso a una identidad o a un perfil aprovisionado en lugar de a una única contraseña reutilizable. iPSK se sitúa entre ambos enfoques. Cada dispositivo obtiene su propia clave en un único SSID, lo que permite retirar un televisor, cerradura o escáner concreto sin alterar el resto.
Trate un Captive Portal de forma diferente. Es un método de inicio de sesión, no un cifrado. Un portal en un SSID abierto puede identificar a un invitado, mostrar los términos y hacer caducar una sesión, pero no cifra el enlace de radio, por lo que sigue necesitando TLS en la capa de aplicación y aislamiento de red por detrás.
Regla práctica: Compruebe primero la columna de estado. Elimine cualquier opción marcada como no disponible o no aceptable y, a continuación, elija la fila restante más segura que permita su combinación real de usuarios y dispositivos.
Este último punto evita un fallo de auditoría muy habitual. Los equipos eligen su protocolo preferido, descubren que un controlador de accesos o un escáner no puede utilizarlo y, a continuación, rebajan la seguridad de toda la red. Mantenga la opción predeterminada y robusta para los clientes modernos y aísle la excepción por separado.
Diferencias prácticas entre WPA2 y WPA3
La diferencia principal entre WPA2-Personal y WPA3-Personal radica en lo que un atacante puede hacer tras interceptar un intento de conexión. WPA2 utiliza un saludo con clave precompartida. Un atacante que capture ese saludo puede procesarlo externamente e intentar adivinar la frase de paso fuera de línea a la velocidad que le permita su hardware, sin necesidad de volver a interactuar con su punto de acceso.
WPA3-Personal sustituye ese intercambio por Simultaneous Authentication of Equals, o SAE. Cada intento requiere un nuevo intercambio interactivo con el punto de acceso. Esto elimina en la práctica los ataques de adivinación fuera de línea contra un saludo capturado y dificulta la explotación de frases de paso débiles, aunque usar una frase de paso sólida sigue siendo la opción correcta.
Lo que aporta WPA3 más allá del protocolo de enlace
WPA3 requiere Protected Management Frames, lo que dificulta el uso de cierto tráfico de gestión falsificado contra los dispositivos cliente conectados. También proporciona forward secrecy. Si la frase de contraseña se filtra más adelante, esa filtración no expone por sí misma el tráfico capturado previamente.
Existen limitaciones estrictas. Se requiere WPA3 para los dispositivos WiFi que funcionan en la banda de 6 GHz, un aspecto planteado en las evidencias presentadas por el comité de normas IEEE 802 LAN/MAN ante la Ofcom sobre su plan de trabajo 2025/26. Si está planificando una cobertura en 6 GHz, la compatibilidad con WPA3 no es una preferencia opcional. Forma parte de los requisitos tanto del cliente como del punto de acceso.
El modo de transición mixto WPA2/WPA3 es el puente habitual. Mantiene conectados los dispositivos cliente antiguos mientras los más nuevos usan SAE, pero también deja abierta una vía de downgrading porque WPA2 permanece activado. Utilícelo como un estado de migración con una condición de salida y, a continuación, cambie a solo WPA3 una vez que el inventario de sus dispositivos cliente lo permita.
Por qué una etiqueta WPA2 no es una prueba definitiva
WPA2 todavía requiere una configuración y un parcheo cuidadosos. En octubre de 2017, el National Cyber Security Centre del Reino Unido informó sobre la divulgación de la vulnerabilidad KRACK, que afectaba a las redes WPA2, al tiempo que subrayaba que WPA2 seguía siendo más seguro que WEP o WPA. KRACK afectó por igual a WPA2-Personal y a WPA2-Enterprise, por lo que la etiqueta por sí sola nunca demostró que un cliente o un punto de acceso fuera seguro.
La respuesta del NCSC sigue siendo la plantilla operativa correcta. Parchee los clientes y la infraestructura, reemplace el protocolo TKIP obsoleto por AES-CCMP y mantenga el firmware con soporte del fabricante, tal y como se describe en la guía del National Cyber Security Centre sobre la vulnerabilidad KRACK. Una red WPA2 sin parchear con un firmware descatalogado se encuentra en una posición real más débil de lo que sugiere su página de configuración.
WPA3 tampoco soluciona el problema del secreto compartido. Protege mejor el enlace de radio, pero una frase de contraseña WPA3-Personal conocida por cada exempleado sigue sin ofrecerle responsabilidad individual ni un conmutador independiente que desactivar.
Comparativa entre claves compartidas, identidad y certificados
Una etiqueta WPA no le dice quién puede acceder a la red ni a qué puede llegar. El control de acceso depende del método de identidad, la directiva de red y la rapidez con la que se puedan revocar las credenciales. Una frase de contraseña compartida puede cifrar el tráfico, pero eliminar a un exempleado puede requerir cambiarla en cada dispositivo. Con el acceso basado en la identidad, un administrador puede desactivar una cuenta, certificado o clave de dispositivo mientras mantiene intactas las demás conexiones.
| Modelo de acceso | Revocación | Responsabilidad por persona | Esfuerzo de incorporación | Soporte para dispositivos antiguos |
|---|---|---|---|---|
| PSK compartida (WPA2/WPA3-Personal) | Cambio de contraseña en todo el centro | Ninguna | Bajo | Bueno |
| iPSK | Revocar la clave de un dispositivo | Por dispositivo, no por persona | Medio | Bueno |
| 802.1X con certificados | Revocar certificado o dispositivo | Por dispositivo | Alto al principio | Limitado para clientes más antiguos |
| 802.1X con inicio de sesión de directorio (Microsoft Entra ID, Google Workspace, Okta) | Desactivar la cuenta de directorio | Por usuario | Medio | Limitado donde no se admite EAP |
| Passpoint / OpenRoaming | Revocar identidad en el proveedor | Por usuario, a través del proveedor de identidad | Bajo para los usuarios | Requiere dispositivos compatibles con Passpoint |
| Captive Portal | Caducar sesión o bono | Por bono o cuenta, control de dispositivo débil | Bajo | Bueno |
El coste diario de cada modelo
El PSK compartido se despliega de forma rápida, pero resulta caro de gestionar cuando las necesidades de acceso cambian. Los dispositivos se conectan con la misma frase de paso, por lo que la marcha de un empleado, un contratista o la filtración de una credencial pueden obligar a realizar un cambio en toda la sede. En ese caso, cada dispositivo legítimo necesitará la nueva contraseña.
iPSK proporciona a cada dispositivo una clave independiente al tiempo que mantiene una configuración de frase de contraseña habitual. Es adecuado para televisiones, sistemas de control de edificios y otros equipos que no pueden utilizar autenticación empresarial. Un administrador puede revocar la clave de un dispositivo, pero la clave identifica al dispositivo, no a la persona que lo utiliza.
802.1X con certificados autentica un dispositivo gestionado. La configuración requiere más trabajo porque los certificados deben emitirse, renovarse y revocarse correctamente. Una vez implementado, un dispositivo perdido o retirado se puede eliminar sin cambiar las contraseñas de los usuarios ni volver a generar las claves de todo el sitio.
El acceso 802.1X vinculado al directorio a través de Microsoft Entra ID, Google Workspace o Okta vincula el acceso a la red con la cuenta de una persona. Desactive esa cuenta durante el proceso de baja y se podrá revocar su acceso sin interrumpir a otros usuarios. La relación entre el ciclo de vida de la identidad y la directiva de red es fundamental para las redes basadas en la identidad para empleados, invitados e inquilinos. La autenticación por sí sola sigue sin definir el alcance: aplique directivas de red y segmentación para que cada identidad solo pueda acceder a los sistemas que necesita.
La prueba del contratista en un hospital
Considere un hospital de 300 camas como ejemplo práctico. Un contratista necesita acceso inalámbrico para un proyecto determinado, los dispositivos clínicos necesitan conectividad sin interrupciones y el equipamiento de las instalaciones comparte la infraestructura física de la red. Cuando el contrato finaliza, el acceso del contratista debe eliminarse sin necesidad de cambiar la clave de las bombas de infusión, las estaciones de trabajo móviles o los sensores del edificio.
Una frase de paso compartida para el personal dificulta esto a menos que el hospital la cambie en todo el recinto. Una cuenta de directorio permite a los administradores retirar el acceso del contratista deshabilitando la identidad. Los certificados de dispositivo responden a una necesidad diferente: el equipamiento clínico se autentica como un dispositivo y permanece conectado cuando un empleado se marcha. Se deben seguir utilizando políticas de red independientes para controlar a qué puede acceder cada cuenta o dispositivo.
El estándar de seguridad de redes inalámbricas SS-019 del Gobierno del Reino Unido es una referencia para los requisitos de seguridad inalámbrica. Como guía práctica, elija WPA3-Enterprise cuando los clientes lo admitan, o WPA2-Enterprise con AES-CCMP cuando los clientes más antiguos lo requieran. Trate esa elección como una parte del diseño, no como una prueba de que el acceso está controlado correctamente.
El soporte de los clientes impone un límite real. El acceso basado en EAP y certificados requiere suplicantes capacitados y un aprovisionamiento fiable en cada dispositivo. Es posible que los teléfonos más antiguos, los controladores embebidos y muchos dispositivos IoT no los admitan. Coloque esos dispositivos en un segmento separado con una clave adecuada y restrinja a qué puede acceder ese segmento, en lugar de debilitar el acceso a toda la red.
El cifrado responde a si el tráfico se puede leer a través del aire. La identidad responde a si esta persona o dispositivo debería estar aquí en absoluto.
Tipos de seguridad recomendados por sector
Comience por la fila del sector más cercana a su actividad y aplique la lógica de contingencia a la clase de dispositivo más antigua. El patrón es constante. Los empleados y los dispositivos gestionados pasan a un acceso basado en la identidad, los invitados obtienen un acceso cifrado pero aislado, y los equipos antiguos reciben su propia clave o segmento en lugar de forzar una degradación en toda la red.
| Sector | Tipo principal | Mecanismo alternativo para dispositivos antiguos | Control clave |
|---|---|---|---|
| Hoteles y bares | Passpoint o 802.1X para el personal, WPA3 o WPA2 con iPSK para invitados | Claves iPSK para televisores y sistemas de puertas | Red de invitados aislada de los sistemas de las instalaciones |
| Comercio minorista y centros comerciales | 802.1X para dispositivos del personal, Passpoint o portal para compradores | iPSK para escáneres y puntos de venta | Sistemas de pago fuera de las redes de invitados |
| Sector sanitario | 802.1X con certificados de dispositivo para dispositivos clínicos | Segmento dedicado para IoT médico y de edificios | Segmentación y ciclos de parches |
| Centros de transporte y estadios | Passpoint y OpenRoaming con descarga de tráfico de operadores (carrier offload) | Captive Portal sobre TLS | Capacidad y roaming, no solo cifrado |
| Residencial, BTR y residencias de estudiantes | WPA3-Personal o iPSK por residente | iPSK para cerraduras inteligentes y televisores antiguos | Revocación de claves al mudarse |
| Oficinas corporativas | WPA3-Enterprise o WPA2-Enterprise con 802.1X | SSID de invitados independiente con aislamiento de clientes | Revocación vinculada al directorio |
| Recintos multinquilino | iPSK por inquilino con SSO para el personal | SSID independiente por inquilino donde el hardware lo permita | Aislamiento de inquilinos probado |
Aplicar la alternativa de contingencia sin debilitar la configuración predeterminada
El sector hotelero demuestra por qué una única respuesta rara vez se adapta a todo un recinto. Los empleados necesitan un acceso revocable, los huéspedes requieren un acceso cifrado con las mínimas interrupciones y los televisores o sistemas de apertura de las habitaciones quizás solo admitan una frase de paso. Utilice Passpoint u 802.1X para el personal, mantenga el tráfico de invitados alejado de los sistemas de gestión del hotel y configure el hardware de las habitaciones con claves iPSK revocables individualmente.
El sector minorista tiene un límite más estricto. Los dispositivos de mano del personal deben utilizar 802.1X siempre que sea posible, los escáneres y terminales de punto de venta pueden usar iPSK en un segmento restringido, y el acceso para compradores nunca debe convertirse en una vía hacia los sistemas de pago. La comodidad de la red para compradores es irrelevante si su directiva de firewall no es correcta.
En el entorno de las oficinas, el mayor rendimiento operativo se obtiene vinculando el acceso inalámbrico al directorio que los empleados ya utilizan para el correo electrónico y las aplicaciones. Un diseño dedicado para WiFi de empleados con acceso y revocación basados en el directorio hace que el proceso de baja sea una sola acción, en lugar de una incidencia de red independiente que alguien podría olvidar.
Los centros sanitarios y residenciales se encuentran en extremos opuestos del mismo problema de dispositivos. Los hospitales no pueden reemplazar a la ligera el equipamiento clínico o de los edificios, por lo que los certificados cubren los dispositivos clínicos gestionados y un segmento dedicado contiene el resto. Las residencias de estudiantes y las promociones de alquiler con servicios cambian de ocupantes a menudo, por lo que una clave por residente que se desactive al mudarse importa más que forzar a todos a usar un inicio de sesión corporativo que su videoconsola no admitirá.
Cuándo volver a evaluar la elección
Vuelva a revisar la asignación cuando cambie cualquiera de estos aspectos:
- Nuevas clases de dispositivos: Es posible que un nuevo terminal de pago, sistema de cerradura o dispositivo médico necesite su propio segmento o modelo de clave.
- Alta rotación de personal: La contratación de temporada o el uso intensivo de personal externo hace que las contraseñas compartidas sean difíciles y costosas de controlar.
- Equipos antiguos sin actualizar: Los dispositivos que nunca reciben actualizaciones necesitan un confinamiento más estricto, no un acceso a la red más amplio.
- Cambios de inquilinos: Los nuevos inquilinos o residentes deberían requerir nuevas claves y una prueba de aislamiento.
Reemplazar cada dispositivo final para lograr un diagrama de protocolos perfecto no es realista en la mayoría de los entornos. Asigne cada clase de dispositivo al modelo más seguro que pueda admitir en la práctica y, a continuación, utilice la segmentación para limitar a qué puede acceder una clase débil o no gestionable.
Audite su configuración actual de WiFi
Una etiqueta WPA y un SSID de invitados no demuestran que el acceso esté controlado. Audite cada red para comprobar su cifrado, las identidades que acepta, los sistemas a los que pueden acceder sus dispositivos cliente y la rapidez con la que se puede revocar el acceso. Comience con la configuración del router o controlador y, a continuación, verifique la conexión desde un teléfono o portátil.
Elabore el inventario antes de modificar nada
Registre cada SSID y punto de acceso, incluidas las redes de prueba olvidadas y las configuraciones de WEP o TKIP que se dejaron para dispositivos que nadie puede identificar. Agrupe los dispositivos conectados por clase: portátiles y teléfonos del personal, dispositivos de invitados, terminales de pago, equipamiento clínico, gestión de edificios e IoT general. Una clase de dispositivo que no pueda admitir una autenticación moderna puede necesitar un acceso alternativo restringido, no acceso a la red del personal.
En el punto de acceso o controlador, registre el modo de seguridad configurado para cada SSID. En un dispositivo conectado, abra los detalles de la red y compruebe el tipo de seguridad mostrado: WEP o TKIP indican seguridad heredada; WPA2-Personal o WPA2-Enterprise identifican WPA2, mientras que WPA3-Personal o WPA3-Enterprise identifican WPA3. Las etiquetas varían según el sistema operativo, por lo que debe utilizar la configuración del controlador para confirmar los resultados ambiguos. Registre también las versiones de firmware de los puntos de acceso, los controladores y los clientes representativos. Un protocolo correcto en un firmware desactualizado no es un control completado.
Las cinco comprobaciones que definen sus prioridades
- El acceso interno está cifrado: Elimine las redes abiertas, WEP o TKIP utilizadas para acceder a los sistemas internos. Un SSID de invitados abierto solo puede permanecer si TLS protege el tráfico y las pruebas confirman el aislamiento de los invitados.
- El firmware está actualizado: Compruebe los puntos de acceso, controladores y clientes representativos, no solo un dispositivo.
- El aislamiento de invitados funciona: Conéctese como invitado y pruebe el acceso a los sistemas del personal, de pago y del edificio, así como la visibilidad de otros clientes invitados.
- El acceso del personal sigue a la identidad: Desactive una cuenta de prueba y verifique que su usuario pierde el acceso a la WiFi de inmediato.
- El acceso a IoT está contenido: Confirme que el inventario de dispositivos está actualizado, que los dispositivos desconocidos son visibles y que los dispositivos IoT utilizan una clave independiente o un segmento restringido.
Un SSID de invitados por sí solo no garantiza el aislamiento. Supere la comprobación únicamente cuando un dispositivo de invitado no pueda acceder a direcciones internas ni a otros clientes a los que no deba ver. Registre quién o qué se autentica en cada SSID, a qué pueden acceder esas conexiones y cómo se revoca el acceso. Clasifique los fallos según el nivel de exposición y utilice ese inventario para establecer las prioridades de migración.
Cómo migrar redes heredadas sin interrumplir el servicio en los dispositivos
Una etiqueta WPA3 no demuestra que una red sea segura, y un SSID de invitados independiente no garantiza el aislamiento. Realice la migración en un orden que elimine las configuraciones débiles, contenga los dispositivos que no puedan admitir una autenticación moderna y, a continuación, cambie la forma en que se conectan el personal y los invitados. Pruebe el acceso y la revocación en todo momento. Esta secuencia protege los equipos frágiles al tiempo que visibiliza los fallos antes de que se conviertan en una razón para restaurar una red compartida.
Seis pasos en orden consecutivo
- Actualizar el firmware y desactivar WEP y TKIP: Actualice el firmware del cliente y del punto de acceso antes de cambiar la autenticación. Consulte las indicaciones del fabricante para su firmware antes de modificar la configuración de repetidores o la transición rápida 802.11r. La configuración de protocolos no puede compensar el uso de software vulnerable o no compatible.
- Contener las clases de dispositivos heredados: Traslade los equipos que no puedan utilizar la autenticación moderna a iPSK o a un SSID dedicado con reglas de destino estrictas. xPSK para claves de dispositivo individuales en infraestructuras compartidas permite que un televisor o una cerradura utilicen una frase de paso sin tener que compartir un único secreto en toda la red. Establezca una clave independiente para cada dispositivo cuando sea posible, de modo que pueda revocar el acceso sin interrumpir a otros.
- Trasladar al personal a 802.1X vinculado al directorio: Conecte el acceso a Entra ID, Google Workspace o Okta para que la baja habitual del personal también elimine el acceso a la red. Purple y otras opciones nativas de proveedores o basadas en directorios pueden proporcionar la capa de autenticación. Verifique que al desactivar una cuenta se bloquea realmente el acceso a la WiFi, en lugar de asumir que la conexión con el directorio gestiona la revocación de forma automática.
- Trasladar a los invitados a un acceso cifrado e aislado: Utilice Passpoint o OpenRoaming donde el recinto y los dispositivos de los clientes lo admitan. De lo contrario, proporcione un Captive Portal sobre TLS, habilite el aislamiento de clientes y trate los dispositivos de los invitados como no fiables. Confirme que la política de acceso limita los destinos a los que pueden acceder los invitados.
- Probar el modo de transición y luego retirarlo: Habilite el modo de transición WPA2/WPA3 y pruebe cada clase de dispositivo. Cambie a un entorno exclusivo WPA3 donde los clientes lo permitan. Registre qué clase específica de dispositivo impide ese cambio y defina un plan para solucionarlo en lugar de mantener el modo de transición activado por defecto.
- Comprobar el aislamiento desde un dispositivo de invitado: Conéctese como invitado e intente acceder a direcciones internas, a otros invitados, a interfaces de gestión de puntos de acceso y a sistemas operativos. Ajuste las reglas de VLAN y del cortafuegos hasta que falle cada ruta prohibida. Una conexión bloqueada solo es válida si la política de red ha provocado el fallo, y no un problema temporal del cliente.
Ejemplo práctico en un hotel de 60 habitaciones
Un hotel de 60 habitaciones tiene una frase de paso para invitados compartida y conocida por toda la ciudad, una caja registradora en la misma red y televisores más antiguos que no pueden utilizar el inicio de sesión empresarial. El hotel migra las habitaciones de los huéspedes a iPSK por habitación o por dispositivo, ubica la caja registradora en un segmento restringido y mantiene al personal con un acceso vinculado al directorio. Cada televisor conserva una clave que puede utilizar, mientras que una clave perdida se puede revocar sin necesidad de cambiar el acceso en todo el establecimiento.
El proyecto se completa únicamente tras probar los controles. Conéctese a la red de invitados y confirme que la caja registradora y los sistemas del personal no son accesibles. Revoque la clave de una habitación y verifique que ya no concede acceso. Conserve los resultados de las pruebas como prueba de que los controles de identidad y segmentación funcionan.
Un SSID independiente es solo un nombre. El aislamiento es el resultado comprobado del cortafuegos y del enrutamiento.
El estudio Cyber Security Breaches Survey 2025 del Gobierno del Reino Unido reveló que el 93 % de las organizaciones disponía de WiFi independiente para el personal y para los visitantes, según los resultados de la encuesta Cyber Security Breaches Survey 2025 en GOV.UK. Un nombre de red independiente no garantiza que las reglas de VLAN bloqueen el tráfico no deseado, que los clientes no puedan comunicarse entre sí o que los antiguos contratistas hayan perdido el acceso.
Si su lista de verificación de auditoría detectó deficiencias, comience por las configuraciones débiles y avance a través de los pasos de migración, registrando qué dispositivos y rutas de acceso aún necesitan atención. Si las comprobaciones fueron correctas, siga realizando pruebas: programe una revisión trimestral, vuelva a probar el aislamiento después de realizar cambios en la red y actualice el inventario de dispositivos cuando aparezcan nuevas clases de equipos. La desviación de la configuración puede arruinar un diseño sólido, independientemente de la versión de WPA que anuncie la red.
Si las frases de paso compartidas, los procesos de baja lentos o el aislamiento de invitados sin probar siguen siendo los cimientos de su red, Purple ofrece acceso basado en la identidad para empleados e invitados, claves por dispositivo para equipos antiguos y revocación vinculada al directorio mediante Microsoft Entra ID, Google Workspace u Okta. Compruebe cómo funciona con sus puntos de acceso actuales antes de planificar una migración.
