Estás de nuevo en la recepción. Un visitante se esfuerza por leer la contraseña de una tarjeta impresa. El portátil de un empleado se desconecta a mitad de una reunión. La persona que gestiona el edificio no puede decir quién está en la red. Esa combinación es habitual en hoteles, oficinas, clínicas y centros comerciales, y es la razón por la que el WiFi en las empresas dejó de ser una mera cortesía hace años.
La contraseña compartida funcionaba cuando unos pocos portátiles se conectaban a una oficina. Falla cuando los invitados, contratistas, cajas registradoras, cámaras y sistemas de acceso comparten el mismo espectro. Los visitantes esperan conectarse a internet. El personal espera que una llamada no se corte. Las instalaciones esperan que los equipos del edificio sigan funcionando. Nadie puede auditar esa combinación de memoria.
Por qué el WiFi se ha convertido en un servicio empresarial fundamental
La tarjeta en la recepción es un resto del pasado. A lo largo de los primeros años de la década de 2010, la red inalámbrica pública dejó de ser una novedad y se convirtió en algo que la gente utilizaba en los lugares que ya visitaba: estaciones, hoteles, tiendas y centros ciudadanos.
Los puntos de acceso público WiFi en el Reino Unido aumentaron de 33 851 en junio de 2013 a 41 798 en junio de 2014, lo que supone un incremento de 7947 ubicaciones, o alrededor del 23,5 % en un año, mientras que el tráfico público de WiFi alcanzó los 1 514 630 GB en junio de 2013. Para septiembre de 2015, se había instalado WiFi gratuito en más de 1000 edificios de 22 ciudades del Reino Unido, cientos de autobuses y tranvías en nueve ciudades ofrecían acceso, y más de 2,6 millones de usuarios únicos habían utilizado el programa de transporte, junto con el programa Super-Connected Cities y el trabajo de conectividad en torno a los Juegos Olímpicos de Londres 2012 (Crecimiento del WiFi público en el Reino Unido).
Lo que asumió el edificio
Esa expansión se produjo en el transporte, la hostelería, el comercio minorista y los espacios públicos. Un hotel, una estación y una oficina municipal pasaron a gestionar un servicio que sus clientes consideraban habitual. El personal empezó a llevar portátiles. Las herramientas SaaS daban por hecho que la conexión se mantendría. El punto de acceso del techo se convirtió en una infraestructura compartida, no en una ventaja que pudiera desactivarse en un día tranquilo.
Una regla del edificio: si los clientes, el personal y los visitantes esperan conectarse dentro de sus instalaciones, la red inalámbrica forma parte del funcionamiento del edificio.
Para quien gestiona instalaciones en lugar de cables, el cambio es práctico. Ya no se decide si ofrecer WiFi o no. Se decide quién puede unirse, a qué puede acceder y cómo sabrá que la división se mantiene tras la próxima remodelación, cambio de proveedor o sustitución de dispositivos.
El departamento de TI de la empresa ha heredado la misma expectativa. El trabajo móvil, el acceso de invitados y las operaciones basadas en datos comparten el mismo espacio radioeléctrico. Una llamada cortada en una sala de reuniones y un visitante bloqueado en una página de inicio de sesión son fallos del servicio, incluso cuando el problema reside en partes distintas del diseño. Trate el servicio como algo que debe gobernar. Una sola red plana no puede dar soporte simultáneamente a clientes, personal y sistemas del edificio.
La red WiFi de invitados y la del personal responden a necesidades distintas
Durante un evento concurrido, un visitante se conecta al WiFi de la recepción mientras los empleados utilizan los sistemas situados tras el mostrador. Ambas conexiones se transmiten por el mismo edificio, pero no deben abrir las mismas puertas. El WiFi para invitados y personal requiere reglas de acceso independientes, y los equipos como las cámaras y los controladores de puertas también necesitan sus propios límites.
Concepto clave: Las zonas separadas funcionan como áreas distintas dentro de un edificio. Un visitante puede acceder al vestíbulo, mientras que el personal y los equipos del edificio solo tienen acceso a los espacios que su trabajo requiere.
El tráfico de invitados es temporal. Los huéspedes de hoteles, compradores, familiares de pacientes y asistentes a eventos necesitan una forma sencilla de conectarse, con acceso limitado exclusivamente a internet. El tráfico del personal respalda el trabajo como correo electrónico, registros y herramientas de pago, por lo que el acceso debe vincularse a una persona autorizada o a un dispositivo gestionado. El tráfico de dispositivos es diferente de nuevo. Las impresoras, los paneles de salas, las cámaras y los controladores de puertas no suelen tener a nadie al mando, y su mantenimiento puede corresponder a un proveedor o al equipo de servicios generales.
Colocar a los tres grupos en una sola red sin restricciones es como dar a cada visitante una llave de las oficinas internas. Un teléfono comprometido, un clic accidental o una cuenta antigua de un contratista podrían exponer los sistemas de pago, los registros del personal o los controles del edificio.
Concepto clave: La separación es una regla operativa continua, no una configuración puntual. Las mudanzas de oficinas, los cambios de proveedores, los eventos temporales y el reemplazo de equipos pueden hacer que los límites originales sean cada vez menos fiables.
Una red puede estar bien dividida tras la instalación inicial y luego desajustarse a medida que cambia el edificio. Un nuevo punto de acceso puede heredar una configuración genérica; un proveedor puede añadir equipos sin actualizar las reglas de acceso; o la conexión de un evento temporal puede quedar activa después. El riesgo no es solo un mal diseño inicial de la red, sino que sus permisos dejen de coincidir con quienes utilizan cada espacio o dispositivo.
Una comprobación práctica consiste en probar a qué puede acceder cada zona. ¿Puede un teléfono en la red WiFi de visitantes conectarse a una caja registradora, a una estación de trabajo clínica o al controlador del edificio? Repita esta comprobación tras una remodelación, un cambio de proveedor o la sustitución de un dispositivo, no solo durante la instalación. La guía de WiFi para invitados explica cómo planificar el acceso de los visitantes.
Concepto clave: Una zona solo es útil cuando sus reglas de acceso se ajustan a su propósito y se verifican a medida que el sitio cambia.
Una rápida comprobación de zonas
- Zona de invitados: acceso exclusivo a internet, sin ruta hacia los sistemas del personal, los equipos de pago o los controles del edificio, y con un proceso de inicio de sesión que se puede revocar.
- Zona de personal: acceso para usuarios autorizados o dispositivos gestionados, con registros de lo que se ha conectado.
- Zona de dispositivos: solo equipos conocidos, acceso saliente limitado y un propietario identificado en mantenimiento o en el contrato del proveedor.
Si no puede esquematizar estas zonas y sus conexiones permitidas en una sola página, es posible que los límites se hayan desdibujado. Las grandes instalaciones pueden perder la separación debido a cambios cotidianos, incluso cuando el diseño original era sólido.
Acceso basado en la identidad: de contraseñas a certificados
Una contraseña compartida es como una llave copiada en una tarjeta, en una pizarra y en una docena de teléfonos. Cuando alguien se va, o cuando se fotografía esa tarjeta, no se puede recuperar la llave sin cambiarla para todas las personas que siguen en el edificio.
El estándar 802.1X cambia el orden de los acontecimientos. Antes de permitir la entrada de un dispositivo, un servidor de autenticación comprueba quién, o qué, solicita unirse. A continuación, el punto de acceso y el dispositivo acuerdan claves de cifrado únicamente para esa sesión. No hay una sola contraseña protegiendo la entrada, por lo que una filtración no expone a toda la planta. La revocación individual pasa a ser posible y se obtiene un registro que vincula una identidad con un dispositivo.
El Centro Nacional de Ciberseguridad del Reino Unido identifica los certificados criptográficos de dispositivo como uno de los controles más eficaces para decidir si un dispositivo puede unirse a una red, y cita 802.1X con WPA2-Enterprise o WPA3-Enterprise para el acceso inalámbrico (guía NCSC sobre shadow IT). Los puntos de acceso conectados a Internet también se incluyen dentro de los requisitos de infraestructura de Cyber Essentials, por lo que la red inalámbrica se sitúa en el perímetro de seguridad y no al margen de él.
Cómo se ejecuta la comprobación
- El dispositivo solicita unirse a la red del personal.
- El punto de acceso no confía en esa solicitud por sí solo. Transfiere la comprobación a un servidor de autenticación.
- El servidor valida un certificado o una cuenta de directorio para ese usuario o dispositivo.
- Solo entonces la sesión recibe sus propias claves de cifrado. Revocar un ordenador portátil no obliga a cambiar la contraseña en el resto de la planta.
Los certificados se adaptan a portátiles y teléfonos gestionados. El departamento de TI emite una credencial que conserva el dispositivo, y al eliminarla se retira el acceso. El inicio de sesión mediante directorio, incluido el inicio de sesión único, se adapta al personal que ya tiene una cuenta de empresa. Cuando esa cuenta se deshabilita, el acceso inalámbrico debe detenerse el mismo día. Un acceso restringido a dispositivos se adapta a equipos que no pueden conservar un certificado. No se une a la red del personal. Obtiene un segmento estrecho y una credencial que se puede eliminar de forma independiente.
Los nombres y claves compartidos también facilitan la suplantación de identidad. Un punto de acceso malicioso puede anunciar una red familiar y recopilar la frase de paso que la gente ya conoce. Resulta útil detectar las amenazas de WiFi Evil Twin antes de considerar el nombre en la pantalla como prueba de que está en su propia red.
Cuando alguien se va, se revoca el acceso a una persona o a un dispositivo. No se vuelve a imprimir la tarjeta del vestíbulo.
Diseño de la red para garantizar capacidad y resiliencia
Los puntos de acceso son los carriles de incorporación. La línea de banda ancha es la autopista. Un carril de incorporación más ancho no ayuda si la autopista está atascada, y una línea rápida no sirve de nada si todos los dispositivos compiten por el mismo tramo del espectro.
El informe Connected Nations 2024 de Ofcom reveló que el 75 % de los inmuebles del Reino Unido, sumando hogares y empresas, habían contratado banda ancha de al menos 30 Mbit/s para julio de 2024, frente al 72 % anterior, mientras que la disponibilidad de fibra óptica completa había alcanzado aproximadamente el 59 % de los inmuebles, la adopción donde estaba disponible era del 35 % (7,5 millones de inmuebles), y alrededor del 7 % de las instalaciones, incluidas las pequeñas y medianas empresas, disponían de una banda ancha adecuada mediante acceso inalámbrico fijo (Connected Nations 2024).
Una oficina urbana con fibra simétrica y un hotel rural con una línea más limitada no comparten el mismo margen de capacidad. Las aplicaciones SaaS, la voz, el vídeo, la verificación de identidad y un pico de invitados consumen recursos de esa línea. Una velocidad de subida débil o una red de enlace congestionada arruinarán un diseño inalámbrico meticuloso, y los edificios comerciales más antiguos suelen ocultar esta limitación hasta que la recepción se llena.
Espectro adicional, no un sustituto
Las organizaciones del Reino Unido pueden utilizar la porción de 5.925–6.425 GHz de la banda de 6 GHz para WiFi 6E y WiFi 7, unos 500 MHz de espectro adicional, aunque la asignación del Reino Unido es más estrecha que los 1.200 MHz completos abiertos en otros países (notas de Jisc sobre WPA3, WiFi 6E y eduroam). Los centros de convenciones, hospitales, intercambiadores de transporte, centros comerciales y estadios suelen quedarse sin tiempo de aire antes de quedarse sin banda ancha. Los canales más anchos de 80 MHz o 160 MHz aumentan la capacidad cuando los clientes admiten la banda.
Los 6 GHz no sustituyen a los 5 GHz. Tienen un alcance menor y experimentan más problemas con las paredes, por lo que complementan una cobertura más amplia en lugar de retirarla. Los planificadores también obtienen menos canales anchos sin superposición de lo que insinúa un folleto genérico, lo que implica contar con un plan de canales adaptado al Reino Unido y no una copia del diseño de otro país.
Evalúe la red en función de la saturación del espectro, no de la velocidad impresa en el punto de acceso.
Las comprobaciones que realmente importan son la utilización del canal, la tasa de reintentos, la latencia de roaming y el tiempo de aire por cliente. La velocidad teórica puede parecer excelente mientras un dispositivo móvil en el extremo de una sala pasa el tiempo esperando o reconectándose. Realice una auditoría de la cobertura del edificio antes de comprar más hardware. Un estudio de cobertura WiFi estructurado justifica su valor allí donde la densidad o los materiales gruesos hacen que las suposiciones salgan caras. Implemente 6 GHz en las zonas de mayor tráfico y en dispositivos administrados modernos, mantenga 5 GHz para obtener alcance y dar soporte a clientes más antiguos, y pruebe la iteración de roaming exactamente de la misma forma en que una persona camina entre plantas.
Comparativa de Passpoint, OpenRoaming y Captive Portals
El inicio de sesión de invitados es una elección de producto, no una única página correcta. Tres modelos cubren la mayoría de los recintos, sopesando la fricción, las visitas recurrentes, la integración de proveedores y el esfuerzo de administración de diferentes maneras.
Un Captive Portal es la página habitual con términos y, a menudo, un formulario breve. La fricción es alta porque los usuarios se detienen a escribir. Los visitantes recurrentes suelen tener que repetir el proceso. Casi cualquier punto de acceso puede mostrar una página del navegador, por lo que la interoperabilidad es amplia. La carga administrativa recae en la página, el registro de consentimiento y el uso que se haga de las direcciones recopiladas. Es ideal para visitas puntuales en las que se requiere una aceptación explícita de las condiciones.
Passpoint, también conocido como Hotspot 2.0, utiliza un perfil para que un dispositivo de confianza se conecte sin tener que rellenar un nuevo formulario. La configuración inicial requiere más atención; después, las visitas recurrentes son automáticas, lo que resulta fundamental en un hotel o en un campus que se utiliza toda la semana. Requiere puntos de acceso compatibles con el perfil, por lo que no sirve cualquier dispositivo básico, sino que exige un diseño planificado.
OpenRoaming es un marco federado desarrollado sobre Passpoint. Un invitado que ya se ha autenticado en un entorno participante puede unirse a otro sin pasar por una nueva Captive Portal. Se dedica menos tiempo a emitir contraseñas locales y más tiempo a depender del soporte del dispositivo y de la propia federación.
| Enfoque | Fricción al iniciar sesión | Visitantes recurrentes | Entre fabricantes | Carga de administración |
|---|---|---|---|---|
| Captive Portal | Una página cada vez | Débil | Amplia | Páginas, formularios, registros |
| Passpoint | Baja tras crear un perfil | Fuerte en esa red | Requiere equipo compatible | Perfiles y confianza |
| OpenRoaming | Baja entre socios | Fuerte donde existen socios | Federación más equipo local | Menos gestión local de contraseñas |
Purple es una plataforma de este conjunto. Cuenta con la certificación OpenRoaming y Passpoint, permite que un invitado se autentique una vez por correo electrónico y se vuelva a conectar en una visita posterior, funciona con Meraki, Aruba, Ruckus, Mist y UniFi, y admite iPSK para dispositivos antiguos junto con SSO para el personal. Un Captive Portal sencillo, o la propia implementación de Passpoint de un recinto, sigue siendo una opción válida junto a ella.
Un pequeño bar solo puede necesitar una página para invitados y una red separada. Un grupo hotelero obtiene más ventajas de las visitas de retorno automáticas. Un hospital no debería colocar dispositivos clínicos en un perfil de roaming de invitados. Adapte el modelo al tiempo de permanencia, a las obligaciones de privacidad y al hardware que ya esté instalado en el techo.
Cómo convertir los datos de WiFi propios en un ROI medible
Los datos de WiFi propios (first-party) son la relación con el visitante que el recinto ya posee, una vez que alguien ha aceptado ese proceso. Una sesión autenticada puede mostrar una visita, un retorno y un tiempo de permanencia. No es una suposición comprada a una red publicitaria externa, ni tampoco una razón para recopilar todo lo que un teléfono pueda revelar.
La analítica, los conectores CRM y la automatización de marketing convierten las señales consentidas en itinerarios sobre los que un equipo puede actuar. Un hotel ve quién vuelve a mitad de semana. Un centro ve qué visitas se producen tras un evento. Las encuestas opcionales aportan un motivo en palabras del propio invitado, y los complementos de seguridad adicionales mantienen ese canal dentro del mismo límite que el resto de la red. El límite útil es el consentimiento. Si no puede explicar por qué se conserva un campo, no lo conserve.
Cuatro acciones que puede contabilizar usted mismo
- Establezca una línea base. Cuente las visitas y cuántas personas abandonan la página de inicio de sesión antes de conectarse. Ese par de datos pertenece a su establecimiento, no a una comparativa de otro lugar.
- Mida el cambio. Una vez que la nueva ruta de acceso esté activa, compare la tasa de finalización y las visitas recurrentes con la línea base que anotó.
- Atribuya solo lo que pueda rastrear. Vincule una visita recurrente o una respuesta de encuesta a una campaña o a un cambio en el sitio. Descarte cualquier cosa que no pueda conectar con una causa.
- Calcule el tiempo operativo. Menos solicitudes manuales de contraseña, menos llamadas a recepción diciendo que "el WiFi no funciona" y menos horas dedicadas a reemitir una clave compartida son ganancias, incluso cuando el marketing no sea el objetivo principal.
Los sectores de hostelería, retail, sanidad, transporte, eventos y residencias no comparten una única métrica de éxito. A un estadio le importa que el inicio de sesión se complete bajo la presión del día de partido. A una residencia de estudiantes le importa que los residentes permanezcan conectados sin pasarse la contraseña por el pasillo. A una clínica le importa, en primer lugar, que el tráfico de visitantes nunca toque los sistemas clínicos, siendo los comentarios un beneficio secundario. Esta guía de analítica de WiFi le ayuda a decidir cuáles de esas señales se le permite conservar.
Si no puede definir la referencia base, no puede afirmar que el proyecto se haya amortizado por sí solo.
Dar el siguiente paso con el WiFi para empresas
Comience con una sola ubicación, no con todas las instalaciones a la vez. La secuencia a continuación es el orden que le evitará comprar hardware antes de saber quién está utilizando el espectro.
Enumere los nombres de las redes esta semana. Anote cada nombre que pueda detectar un teléfono y verifique si los invitados, el personal y los dispositivos están separados. Los nombres en una lista no cuentan si las rutas subyacentes son compartidas.
Haga un inventario de los dispositivos silenciosos. Las impresoras, los teléfonos conectados a internet, los sistemas de acceso a edificios y los paneles de reserva de salas suelen estar conectados al WiFi corporativo y, a menudo, pertenecen a servicios generales o a un proveedor. Una investigación del Gobierno del Reino Unido publicada en 2025 detectó graves deficiencias en los dispositivos conectados empresariales de uso común, como fallos de ejecución remota de código sin autenticación, software desactualizado, configuraciones no seguras y dispositivos que ejecutan procesos como usuario root con altos privilegios (estudio sobre dispositivos conectados empresariales). Un inicio de sesión más robusto para los empleados no soluciona una impresora totalmente expuesta.
Compruebe la ruta a internet. Confirme que la banda ancha, o el enlace inalámbrico fijo, pueda soportar la hora punta. Una capa de acceso ordenada sobre una línea saturada seguirá fallando en el vestíbulo a las 17:00.
Asigne un modelo de inicio de sesión a cada grupo. Certificados o inicio de sesión de directorio para dispositivos gestionados del personal. Una página cautiva, Passpoint o itinerancia federada para invitados. Un segmento restringido, con su propia credencial, para todo lo que no pueda realizar una autenticación moderna. Cuando un proveedor reemplace una unidad, la nueva unidad heredará el segmento, no un atajo a la red del personal.
Realice una prueba piloto en un edificio. Elija el de mayor afluencia o la brecha más crítica, como una zona de pago que aún comparta espacio radioeléctrico con los visitantes. Ejecute la prueba el tiempo suficiente para incluir una mudanza, una visita de un proveedor y una sustitución de dispositivos. Después, verifique que el aislamiento de los visitantes se mantenga.
Qué revisar tras la prueba piloto
Fíjese únicamente en cuatro resultados. El tráfico de visitantes no puede acceder a nada interno. Un empleado saliente perdió el acceso el mismo día. Las zonas con gran densidad siguieron siendo utilizables según las métricas elegidas. La tasa de finalización del inicio de sesión mejoró respecto a su propio punto de referencia. Si estos cuatro aspectos son correctos, replique el modelo en el siguiente centro. Si no lo son, corrija la prueba piloto antes de escalarla. La lista de SSID es la acción que puede completar antes de que termine la semana, en el edificio que reciba más visitantes o que más le preocupe.
Purple ofrece WiFi basado en la identidad para invitados, personal y edificios multinquilino, de modo que la contraseña compartida del vestíbulo se sustituye por un acceso que se puede segmentar y revocar. Si sus instalaciones necesitan itinerarios de invitados e inicio de sesión de personal en la misma infraestructura, sin tratar la red inalámbrica como un servicio prescindible, comience por el edificio que tenga el mayor afluencia de público o la brecha de seguridad más crítica. Visite Purple para hablar sobre un despliegue diseñado para ponerse en marcha en semanas en lugar de meses.
