El consejo habitual es colocar una advertencia, definir una contraseña más larga y añadir un SSID para visitantes. Ese consejo confunde la apariencia con el control. Un cartel no puede probar que una red sea legítima, una contraseña compartida no se le puede retirar a una sola persona y el nombre de un SSID no garantiza la confianza. La gestión del acceso WiFi solo funciona cuando la identidad, el cifrado y la revocación están integrados en el propio proceso de conexión.
Lo que realmente controla la gestión de accesos WiFi
Supongamos que un hotel entrega a cada huésped y limpiador la misma llave de la puerta principal. La llave abre las habitaciones, la oficina y la sala de máquinas, y nadie puede saber quién la usó el martes pasado. Eso es una frase de paso compartida. El acceso basado en la identidad la sustituye por una llave nominativa que abre solo las habitaciones acordadas y que se puede cancelar de forma independiente.
La gestión de accesos a WiFi es la directiva y su aplicación que se sitúan entre un dispositivo y su red de área local. No se limita a proporcionar señal; decide si se establece una conexión, a qué puede acceder esa conexión y qué registro se conserva después.
Tres controles en secuencia
- La autenticación demuestra la identidad: la red comprueba quién o qué se está conectando mediante una credencial, certificado, perfil o clave única vinculada a ese usuario o dispositivo.
- La autorización asigna el alcance: una vez demostrada la identidad, la directiva ubica el dispositivo en una VLAN, rol o grupo de firewall que solo puede acceder a los sistemas permitidos.
- La contabilidad crea el registro: el sistema registra al usuario, el dispositivo, la hora y el lugar, de modo que pueda investigar un incidente y probar quién disponía de acceso en una fecha determinada.
Si se descuida un control, los demás se debilitan. La autenticación sin autorización permite que un invitado genuino acceda a los sistemas del personal. La autorización sin contabilidad le deja con dudas tras una reclamación. Una página de bienvenida que recopila una dirección de correo electrónico pero coloca a todo el mundo en una red plana no es gestión de accesos. Es un formulario delante de una puerta abierta.
La carga detrás de estas decisiones ha cambiado. En 2025, el 86 % de los hogares y empresas del Reino Unido disponía de acceso a una conexión de banda ancha capaz de alcanzar gigabits, según los datos State of the Nation del Gobierno del Reino Unido a partir de las cifras de Connected Nations 2025 de Ofcom. Actualmente, hoteles, hospitales, tiendas y edificios multinquilino gestionan un tráfico de red mucho mayor de sesiones simultáneas, autenticación en la nube y tráfico de dispositivos de lo que una simple página de bienvenida fue diseñada para regular.
Mantenga separadas tres poblaciones en su planteamiento. Los invitados necesitan una conexión rápida y cifrada que puedan completar sin complicaciones. El personal y los contratistas necesitan derechos que sigan las altas, cambios y bajas. Los residentes y los dispositivos IoT necesitan un aislamiento que funcione sin tener que llamar al soporte técnico cada vez que alguien añade un televisor.
Una contraseña compartida por 200 personas tiene 200 propietarios y ningún responsable asignado.
La tabla de audiencias de la siguiente sección convierte esos grupos en controles concretos. Lea cada fila como una ruta completa, desde cómo se conecta alguien hasta cómo finaliza su acceso.
Cómo se conectan los invitados, el personal y los inquilinos
| Audiencia | Método de acceso | Prueba de confianza | Alcance de la red | Cómo finaliza el acceso |
|---|---|---|---|---|
| Invitado | Portal cautivo, Passpoint o app del establecimiento | Correo electrónico, perfil de un solo uso o credencial federada | Solo VLAN de invitados aislados | Tiempo de espera de la sesión o directiva del portal |
| Personal | 802.1X con EAP-TLS o directorio empresarial WiFi | Certificado o cuenta de proveedor de identidad | VLAN y aplicaciones basadas en roles | Desactivación en directorio, sin rotación de secreto compartido |
| Contratista | 802.1X de duración limitada o cuenta patrocinada | Identidad aprobada por el patrocinador | Solo VLAN con privilegios mínimos | Fecha de expiración o eliminación del patrocinador |
| Residente o inquilino | PSK única o red privada por vivienda | Clave por inquilino | Solo teléfonos, consolas y televisores propios | Desactivación de la clave al mudarse |
| Dispositivos IoT y heredados | PSK específica para el dispositivo, no una contraseña de usuario | Identidad del dispositivo | Segmento IoT dedicado | Clave revocada por dispositivo |
Invitados y personal
Un invitado acredita muy poco, por lo que la red debe conceder muy poco. El portal, el perfil de Passpoint o la aplicación les permite conectarse, y la VLAN aislada los mantiene alejados de las cajas registradoras, impresoras y sistemas clínicos. El acceso finaliza automáticamente porque nadie se acordará de eliminar a los visitantes de ayer.
Los recintos que registran a las personas por razones operativas se enfrentan a la misma disciplina de otra forma. La guía de Global para el registro de invitados ofrece un contexto útil sobre por qué dicho registro es importante, pero los datos de registro no deberían ampliar los derechos de red. Un formulario cumplimentado demuestra que se ha producido una visita. No convierte a un teléfono en un dispositivo de confianza. Nuestra guía de WiFi para WiFi invitados cubre el proceso de incorporación, mientras que la regla de red sigue siendo sencilla: los invitados obtienen acceso a internet, no a su LAN.
El personal se encuentra en el extremo opuesto. Un certificado o una cuenta respaldada por un directorio acredita a una persona y, lo ideal, a un dispositivo gestionado. El nivel de acceso responde a la función, de modo que el portátil de recepción y el de finanzas no terminan en el mismo lugar solo por haber cruzado la misma puerta. Cuando alguien se marcha, la desactivación de la cuenta del directorio revoca el acceso a la WiFi sin necesidad de cambiar una clave secreta en todos los dispositivos restantes.
Contratistas, residentes y dispositivos
Los contratistas necesitan una verificación similar a la del personal pero con las limitaciones propias de un invitado. Asígneles una identidad nominativa y patrocinada, la VLAN más reducida que les permita realizar su trabajo y una fecha de caducidad fijada antes de comenzar las tareas. Si el patrocinador no puede definir la fecha de finalización, la cuenta no está lista.
Los residentes en viviendas de alquiler institucional, residencias de estudiantes o apartamentos necesitan algo diferente. Una clave única o red privada por contrato de alquiler permite que los teléfonos, consolas y televisores se comuniquen entre sí sin ver el piso de al lado. Al mudarse, se retira esa clave. No hace falta volver a cambiar las claves de todo el edificio.
Los dispositivos IoT y sin navegador no pueden introducir contraseñas ni completar portales. Cada dispositivo recibe su propia clave en un segmento dedicado, nunca la frase de contraseña del personal. Si se sustituye una cámara o un sensor, solo se revoca esa clave.
Los casos excepcionales ponen a prueba si ha entendido la tabla. Un médico que utiliza un teléfono personal en la cafetería es un invitado en ese dispositivo, incluso dentro de un hospital. Un comerciante con una tableta gestionada es personal. La identidad del dispositivo determina la directiva, no el nombre del SSID ni el edificio.
Una red de visitantes independiente es solo el contenedor. La fila es el control.
Normas de seguridad que deben cumplir las redes del Reino Unido
Empiece con el punto de partida y gestione después las excepciones. Para usuarios habituales, el Wireless Network Security Standard del Gobierno del Reino Unido exige IEEE 802.1X con autenticación EAP y prohíbe las claves precompartidas, permitiendo PSK específicas de dispositivo solo para dispositivos IoT. El mismo estándar exige WPA2 o estándares sucesores como WPA3, productos certificados WPA-Enterprise y CCMP con AES para proteger la confidencialidad y la integridad.
La lista de comprobación de referencia
- WPA2/3-Enterprise: Autentique al personal mediante el método empresarial. Una frase de paso compartida con una etiqueta empresarial sigue siendo una frase de paso compartida.
- 802.1X con EAP: Autentique a cada usuario o dispositivo en el momento de la conexión, antes de que acceda a los sistemas internos.
- Gestión centralizada de AP: Gestione los puntos de acceso de forma centralizada para que la directiva no varíe entre edificios, plantas o sedes.
- Identidad mediante directorio o certificado: Vincule el acceso a una identidad que pueda deshabilitar o revocar para una persona o dispositivo concreto.
- Servicio de invitados independiente: Mantenga a los invitados en un servicio controlado e aislado. Nunca utilice una contraseña corporativa compartida en la SSID de invitados.
Cada elemento de esa lista existe para solucionar un fallo específico. La autenticación por usuario implica que una directiva se aplica a una persona, por lo que desvincular a un empleado saliente nunca se convierte en una tarea de mantenimiento para todo el centro. La gestión centralizada permite que una corrección llegue a todos los puntos de acceso a la vez, en lugar de limitarse a aquellos que un ingeniero haya visitado. Nuestra guía de seguridad de WiFi WiFi para empresas aborda la implementación con más detalle, aunque el propio estándar deja muy poco margen para el uso de contraseñas compartidas entre el personal.
Por qué los certificados son mejores que las listas MAC
Los certificados otorgan a un dispositivo una identidad más sólida que cualquier lista de direcciones de hardware. Un certificado X.509 vincula una clave pública a la identidad de un usuario, equipo o servicio autorizado. La red lo valida criptográficamente en cada conexión y puede revocarlo en el momento en que un portátil se pierde, se retira o se deja de gestionar.
Una lista de permitidos por MAC no puede hacer eso. Las direcciones MAC son relativamente fáciles de descubrir y suplantar, por lo que la lista demuestra que alguien ha copiado una dirección, no que el dispositivo sea suyo. Trate el filtrado MAC como una tarea de mantenimiento, si es que lo utiliza. No lo trate como una identidad.
Los certificados requieren esfuerzo. Alguien debe gestionar el registro durante la entrega del dispositivo, la renovación antes del vencimiento, la revocación y una vía de recuperación para un usuario bloqueado antes de su turno. Los equipos pequeños acusan ese volumen de trabajo. Puede asumirlo internamente o delegarlo en un servicio que ejecute la autenticación por certificado en los puntos de acceso que ya posee sin tener que crear una PKI: Staff WiFi de Purple, por ejemplo, incorpora los dispositivos de los empleados con certificados EAP-TLS gestionados, de modo que no hay ninguna frase de contraseña compartida que rotar.
Regla práctica: Si revocar el acceso de una persona implica modificar el dispositivo de todos los demás, no tiene una revocación. Tiene un proyecto de cambio de contraseña.
Vincule los dispositivos de confianza que se conectan automáticamente con un servicio de invitados independiente, registrado y aislado. Un proceso sencillo para el equipo gestionado del personal y un aislamiento estricto para todo lo demás son la misma directiva aplicada a diferentes niveles de verificación.
Dónde ejecutar la política de acceso
Sea propietario de los servidores solo si ya gestiona bien el control de acceso a la red. De lo contrario, ubique la directiva en la nube y mantenga el aislamiento por rol o arrendamiento. La elección depende de dónde se tome la decisión, no de qué proveedor de puntos de acceso esté instalado en el techo.
| Modelo | Dónde reside la política | Mejor caso de uso | Experiencia requerida | Aislamiento |
|---|---|---|---|---|
| RADIUS local | Servidores locales y PKI | Campus único con un equipo de NAC existente | Alta: tiempo de actividad, certificados y conmutación por error internos | VLAN diseñadas por el equipo |
| RADIUS en la nube o plataforma de identidad | Nube del proveedor, puntos de acceso existentes | Hostelería, comercio minorista, sanidad y transporte en múltiples sedes | Baja: sin necesidad de crear una PKI | Política central con VLAN por sede |
| Redes privadas multiinquilino | Nube más una clave única por vivienda | BTR, residencias estudiantiles, apartamentos | Baja para los residentes | Inquilino aislado de otros inquilinos |
| Frase de paso compartida SSID | La propia contraseña | No es un estado objetivo | Baja hasta que la contraseña se filtra | Ninguno |
El control en las instalaciones y su coste
La solución local RADIUS se adapta a un único campus que ya ejecuta NAC y puede asumir la PKI, el tiempo de actividad, los parches y la conmutación por error. Mantiene el control total de las decisiones de autenticación y los registros. También se queda con el buscapersonas. Cuando las sedes se multiplican, la desviación de la configuración se convierte en un fallo silencioso, porque cada sede se repara en un momento diferente y por una persona distinta.
La nube RADIUS, o una plataforma de identidad frente a los puntos de acceso existentes, se adapta a grupos hoteleros, cadenas comerciales, centros sanitarios y operadores de transporte. La misma regla se aplica en el centro de Londres y en una propiedad rural. Su equipo no necesita crear una PKI, y un cambio en el directorio puede revocar a un usuario de forma centralizada en lugar de esperar a una visita a la sede.
Por qué la geografía cambia la respuesta
La red de enlace (backhaul) no es uniforme en todo el Reino Unido. Los informes por naciones Connected Nations 2024 de Ofcom señalaron que, en julio de 2024, la disponibilidad de fibra óptica completa alcanzó el 69 % de las viviendas en Inglaterra y el 62 % en Escocia, con aproximadamente 760 000 hogares en Irlanda del Norte. La banda ancha fija superrápida estaba disponible para el 98 % de las viviendas en Irlanda del Norte, e Inglaterra contaba con una cobertura apta para gigabit del 84 %, lo que equivale a 21,1 millones de inmuebles.
Interprete estas cifras como una advertencia de gobernanza, no como una tabla de clasificación. El ancho de banda y la densidad de cada ubicación variarán en todo el complejo. La autenticación, la separación de roles y la visibilidad centralizada deben mantenerse consistentes de todos modos.
Las redes privadas multinquilino responden a un problema más específico. Cada residente obtiene una red aislada para sus propios dispositivos, incluidos los que no tienen navegador, sin ver a los vecinos. Es el modelo adecuado para alquiler institucional y residencias de estudiantes, pero el modelo equivocado para los sistemas del personal.
La fila de la frase de contraseña compartida es la que debe retirar. Requiere pocos conocimientos hasta que la contraseña se filtra, momento en el que todos los dispositivos necesitan atención y sigue sin poder saberse quién la utilizó.
Gestión de accesos en tres recintos del Reino Unido
La sala de espera de un hospital
Un visitante llega preocupado, con prisa y necesita enviar un mensaje a su familia u abrir un correo de confirmación de cita. Ve dos redes con nombres similares y pulsa en una. Pedir a esa persona que evalúe certificados, SSID y cifrado en ese momento es abocarla al error.
La encuesta de 2026 realizada a 3000 adultos del Reino Unido y publicada por ISPreview reveló que el 32 % no estaba seguro de poder distinguir una red WiFi pública segura de una red suplantada, el 20 % no tomó ninguna precaución antes de conectarse y el 16 % no sabía qué señales indicaban que una red era sospechosa.
Otro cartel no solucionará ese problema. La red auténtica debe presentar una identidad verificable y cifrar los datos desde el primer paquete, mientras que los sistemas clínicos permanecen totalmente fuera de la ruta de los invitados. La incorporación al estilo Passpoint resulta adecuada en este caso porque el dispositivo puede reconocer una red de confianza tras la configuración, en lugar de pedir a un visitante estresado que identifique la opción segura. Diseñe la opción segura para que sea la más sencilla.
Un hotel o centro comercial
Un invitado que no desea rellenar un formulario largo se rinde o utiliza datos móviles. Un portal cautivo breve funciona para una primera visita, pero la incorporación de tipo Passpoint, una vez aprovisionada, permite que los visitantes recurrentes vuelvan a conectarse sin una segunda página de bienvenida. La experiencia se siente como itinerancia, no como un registro.
Los datos propios consentidos pueden ayudar a comprender las visitas y realizar un seguimiento una vez que la ruta de la red esté aislada. Mantenga el orden correcto. El valor de marketing llega una vez que la directiva de sesión, el registro y la experiencia del invitado VLAN ya son correctos.
Residencias estudiantiles y viviendas Build-to-Rent
Un estudiante llega con un teléfono, un portátil, una consola y una Smart TV. La mitad de esos equipos no dispone de navegador para acceder a un portal. Cada piso necesita una red privada en la que esos dispositivos funcionen juntos, invisibles para otros pisos, y cuya clave expire al finalizar el contrato de alquiler. La Purpleguía de WiFi multiinquilinoWiFi de aborda ese modelo residencial con más detalle.
La misma lógica de gestión del edificio no resulta válida para los empleados. El personal de enfermería, la dirección de un hotel o los responsables de vivienda deben contar con una autenticación empresarial vinculada a su identidad laboral, que incluya la revocación vinculada al directorio cuando cambien de función, incluso en el edificio donde estén rodeados de visitantes.
Por qué no basta con separar los SSID
Dividir una sede en redes de «Personal» e «Invitados» parece un control de acceso. Sin embargo, se parece más a una clasificación. El nombre emitido decide por qué puerta entra un dispositivo y, a partir de ahí, deja de hacer preguntas. Quien tenga la frase de paso del personal la conservará el día que se marche, y un dispositivo que se conecte a la SSID adecuada aún podrá acceder a una parte del edificio mucho mayor de la que justifica su función.
Año tras año, la encuesta Cyber Security Breaches Survey del Gobierno del Reino Unido revela que una gran proporción de las empresas británicas sufre brechas o ataques, mientras que el uso de redes independientes para el personal y los visitantes sigue siendo una recomendación habitual en las buenas prácticas de redes del Reino Unido. La segmentación es una medida básica de higiene. No es una identidad.
Cuatro errores habituales y sus soluciones
- Una clave compartida que no se puede revocar para una sola persona: Soluciónelo mediante 802.1X vinculada al directorio, de modo que al deshabilitar la cuenta de un empleado saliente se revoque su acceso a la WiFi el mismo día.
- Contratistas asignados a la VLAN del personal: Soluciónelo con acceso de menor privilegio, un promotor designado y una fecha de caducidad, para que el trabajo temporal no se convierta en un alcance permanente.
- Listas de separación por MAC tratadas como identidad: Soluciónelo con certificados, ya que una dirección MAC se puede duplicar, mientras que un certificado se puede validar y revocar.
- Un SSID por tipo de dispositivo: Soluciónelo con un SSID empresarial único y claves por dispositivo para IoT, antes de que se multipliquen las balizas, las contraseñas y las llamadas al soporte técnico.
Observe qué cambia con cada solución. El nombre de emisión de la red sigue siendo el mismo. Lo que cambia es quién puede probar una identidad, qué permite abrir esa prueba y con qué rapidez deja de funcionar dicha prueba.
Un SSID es una etiqueta en una puerta. No le dice nada sobre quién tiene la llave ni qué habitaciones abre dicha llave.
Las sedes con más probabilidades de seguir utilizando una clave compartida son las que carecen de competencias locales de RADIUS: proveedores de vivienda, centros sanitarios más pequeños y grupos hoteleros donde el personal de operaciones administra la WiFi en lugar de especialistas en redes. Su obstáculo rara vez es la falta de comprensión del riesgo. Se trata más bien del coste previsto que supone gestionar servidores, certificados y sistemas de conmutación por error de forma independiente.
Ese coste se ha reducido. Un servicio administrado de RADIUS puede ejecutarse ahora en los puntos de acceso que un establecimiento ya posee, sin necesidad de crear una PKI ni de rotar una frase de paso compartida. El acceso basado en la identidad deja de ser un proyecto especializado y la contraseña expuesta en el tablón de anuncios pierde su última excusa. Solo parecía económica porque la factura llegaba más tarde, en forma de incidente, hallazgo de auditoría o ejercicio frenético de cambio de claves.
Buenas prácticas para la gestión continuada de accesos
Una buena gestión de accesos es principalmente cuestión de rutina. El diseño acapara la atención, pero las bajas de empleados, los certificados caducados y las cuentas de contratistas olvidadas son los que provocan los fallos.
| Práctica | Acción | Desencadenador |
|---|---|---|
| Baja de empleados | Desactivar cuenta de directorio | Último día laborable |
| Acceso de contratistas | Establecer fecha de finalización y patrocinador | Durante la incorporación |
| Ciclo de vida de los certificados | Inscribir, renovar, revocar | Antes de la expiración o en caso de pérdida |
| Claves de residentes | Emitir por vivienda, desactivar al mudarse | Cambio de inquilino |
| Claves IoT | Una clave por dispositivo en su propio segmento | Desmantelamiento |
| Aislamiento de invitados | Comprobar que la VLAN de invitados no pueda acceder a los sistemas del personal | Tras cada cambio |
| Revisión de accesos | Revisar inventario de SSID y claves | Trimestralmente |
Conecte la identidad de WiFi a sus fuentes de altas, cambios de puesto y bajas de empleados. La cuenta de una baja debe cerrarse el último día laborable, no en la siguiente auditoría. Si los equipos de RR. HH., TI y red utilizan listas diferentes, concílielas hasta que exista un único activador en el que todos confíen.
Las comprobaciones que la gente pasa por alto
- Compruebe el aislamiento de invitados tras realizar cambios: Después de cualquier modificación en la VLAN, el firewall o el punto de acceso, conéctese como invitado y confirme que no puede acceder a los sistemas del personal, impresoras o servicios clínicos.
- Cruce las claves con los registros: Cada trimestre, compare las claves de los residentes con el registro de alquileres y las claves de IoT con la lista de activos. Elimine cualquier clave que nadie pueda justificar.
- Documente las excepciones correctamente: Cada excepción debe contar con un responsable y una fecha de caducidad. Una excepción sin fecha de finalización es solo una política no documentada.
- Mantenga registros útiles: Registre cada autenticación indicando el usuario, el dispositivo, la hora y la ubicación, y permita que el responsable de cumplimiento determine el período de conservación.
Envíe una configuración centralizada a todos los puntos de acceso de sus sedes. La improvisación local resulta útil durante una interrupción, pero se convierte en un riesgo invisible más adelante. Revise también la lista de SSID trimestralmente. Los SSID se acumulan sin darnos cuenta, y cada uno es una directiva de la que alguien debe hacerse responsable.
Elija a continuación el acceso basado en la identidad
Elija el público que todavía utiliza un secreto compartido y reemplace esa ruta primero. Para la mayoría de los recintos, se trata del personal. Vincule WiFi a Entra ID, Google Workspace o Okta, emita certificados gestionados para que no haya frases de paso que rotar y registre cada autenticación con el usuario, el dispositivo, la hora y la ubicación.
No necesita tres herramientas independientes para cubrir a los tipos de usuarios descritos en este artículo. Purple es una plataforma de WiFi con Guest WiFi, Staff WiFi y Multi-Tenant WiFi, que ofrece acceso para invitados, 802.1X para el personal y redes de área privada xPSK en una única plataforma en la nube. Los dispositivos del personal se incorporan con certificados EAP-TLS gestionados en los puntos de acceso ya instalados, sin necesidad de que su equipo construya una PKI.
Compruebe el hardware que ya posee antes de presupuestar un reemplazo. Entre los proveedores compatibles se incluyen Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Mantener los puntos de acceso existentes convierte una sustitución completa en toda la red en una migración de directivas.
Los datos de invitados con consentimiento pueden alimentar las analíticas y el CRM una vez que la ruta de red esté aislada. Las analíticas nunca sustituyen a la revocación, así que ordene el trabajo correctamente.
Un plan inicial de 30 días
- Enumere cada SSID: Marque cada clave compartida de empleados o residentes y asigne un responsable para ella.
- Vincule las bajas al deshabilitado en el directorio: Confirme el activador exacto que finaliza el acceso WiFi cuando concluye el contrato laboral.
- Prueba piloto en un centro: Implemente el acceso por certificado o clave única con un grupo reducido y pruebe la revocación antes del despliegue total.
- Verifique la compatibilidad del fabricante: Confirme que sus puntos de acceso admiten el modelo y planifique la transición de la infraestructura.
Empiece por la audiencia cuyo secreto compartido le preocupe más. Todo lo demás resulta más fácil una vez que una ruta demuestra que la revocación funciona en cuestión de minutos y no de fines de semana.
Purple sustituye las contraseñas compartidas por un acceso basado en la identidad para invitados, personal y residentes en los puntos de acceso que ya posee, con políticas centralizadas, revocación por usuario y redes privadas aisladas donde las necesite. Si está listo para retirar la frase de contraseña compartida del personal y ofrecer a cada tipo de usuario el nivel de confianza adecuado, visite Purple para comprobar la compatibilidad del fabricante y planificar su primer centro.
