El Mejor Software de Captive Portal en 2026: Una Guía Comparativa
Esta guía ofrece una comparación autorizada y neutral de las principales plataformas de software de Captive Portal disponibles en 2026, evaluadas en función de sus características, postura de cumplimiento, profundidad de integración y coste total de implementación. Está dirigida a gerentes de TI, arquitectos de red y CTOs de hoteles, cadenas minoristas, estadios, centros de conferencias y organizaciones del sector público que necesitan tomar una decisión de adquisición o arquitectura este trimestre. La guía cubre la arquitectura técnica, escenarios de implementación reales y un marco de selección estructurado para ayudar a los equipos a alinear su estrategia de control de acceso a la red con resultados de negocio medibles.
🎧 Escuchar esta guía
Ver transcripción
Resumen Ejecutivo
El software de Captive Portal se encuentra en la intersección del control de acceso a la red y la captura de datos de primera parte. En 2026, el mercado ha avanzado mucho más allá de las simples páginas de bienvenida: las plataformas líderes ahora ofrecen implementación basada en la nube, gestión de consentimiento compatible con GDPR, integración profunda con CRM y análisis de ubicación en tiempo real. Para los operadores de recintos y los equipos de TI, la elección correcta depende de tres factores principales: la escala y complejidad de su entorno de red, sus obligaciones de cumplimiento y el grado en que su organización tiene la intención de monetizar los datos de los invitados de WiFi.
Esta guía evalúa las seis soluciones de Captive Portal más ampliamente implementadas en los segmentos empresarial y de mercado medio: Purple, Cisco Meraki, Cloud4Wi, IronWiFi, Cloudi-Fi y Beambox. Cada plataforma se evalúa en cuanto a su capacidad de autenticación, gestión multisitio, profundidad analítica, ecosistema de integración y preparación para el cumplimiento. Para organizaciones en hostelería , comercio minorista , sanidad y transporte , asignamos cada plataforma a los requisitos operativos específicos de ese sector vertical. La guía concluye con un marco estructurado de selección de proveedores y dos estudios de caso de implementación detallados.
Conclusión para el CTO: Si el análisis y el ROI de marketing son sus objetivos principales, Purple lidera el campo. Si ya está en el ecosistema de Cisco, Meraki es el camino de menor resistencia. Para la gestión combinada de acceso de invitados y empleados bajo un único paraguas de cumplimiento, IronWiFi es el contendiente más fuerte.
¿Qué es el Software de Captive Portal?
Un Captive Portal es un mecanismo de control de acceso a la red que intercepta la solicitud HTTP o HTTPS inicial de un dispositivo que se conecta y la redirige a una página de bienvenida alojada. El usuario debe completar una acción definida —aceptar los términos de servicio, enviar una dirección de correo electrónico, autenticarse a través de un inicio de sesión social o introducir un código de cupón— antes de que la red conceda acceso completo a internet. El comportamiento del protocolo subyacente está estandarizado en RFC 8952 , que define la API de Captive Portal y asegura que los sistemas operativos modernos puedan detectar y mostrar el portal correctamente.
Para un desglose técnico detallado de cómo funciona el flujo de intercepción, redirección y autenticación a nivel de protocolo, consulte nuestra guía: ¿Cómo funciona un Captive Portal? Análisis técnico en profundidad .
A nivel de infraestructura, el software de Captive Portal opera en uno de tres modelos de implementación. En un modelo alojado en la nube, la página de bienvenida y la lógica de autenticación se sirven desde la infraestructura en la nube del proveedor, con el punto de acceso o controlador redirigiendo a los clientes no autenticados a la URL alojada. En un modelo local (on-premises), un dispositivo de puerta de enlace dedicado o una máquina virtual se sitúa entre la capa del punto de acceso y el router ascendente, gestionando todo el tráfico de redirección y autenticación localmente. En un modelo integrado en el controlador, el Captive Portal es una característica nativa del controlador de LAN inalámbrica (como Cisco Meraki o Aruba), eliminando la necesidad de una plataforma separada.
La elección del modelo de implementación tiene implicaciones directas para la latencia, la resiliencia, la residencia de los datos de cumplimiento y el coste total de propiedad.
Arquitectura Técnica
La arquitectura de un servicio moderno de Captive Portal basado en la nube implica varias capas distintas. En el borde, los puntos de acceso WiFi emiten uno o más SSIDs. Los clientes no autenticados se colocan en una VLAN restringida con acceso DNS y HTTP/HTTPS solo al rango IP de la plataforma de Captive Portal — este es el jardín vallado. Cuando el sistema operativo o el navegador del cliente intenta acceder a internet, el punto de acceso o el controlador intercepta la solicitud y emite una redirección HTTP 302 a la URL de la página de bienvenida del portal.
La página de bienvenida y el motor de autenticación —alojados en la nube del proveedor— presentan la interfaz de inicio de sesión de marca. Tras una autenticación exitosa (OAuth social, envío de correo electrónico, OTP por SMS o validación de cupón), la plataforma envía una señal de autorización de vuelta al punto de acceso o controlador a través de un mensaje RADIUS Access-Accept o una llamada API, dependiendo del método de integración. El cliente es entonces movido a la VLAN autenticada y se le concede acceso a internet.
Aguas abajo del motor de autenticación, la plataforma envía los datos de identidad capturados —direcciones de correo electrónico, atributos de perfil social, registros de consentimiento— a sistemas integrados: plataformas CRM (Salesforce, HubSpot, Mailchimp), herramientas de automatización de marketing y paneles de análisis. Para implementaciones empresariales, esta integración se gestiona típicamente a través de una API REST o webhook, con el mapeo a nivel de campo configurado en la consola de administración del portal.
El protocolo RADIUS (definido en RFC 2865) sigue siendo el método dominante para comunicar las decisiones de autenticación entre la plataforma de Captive Portal y la infraestructura de red. Las plataformas que también soportan IEEE 802.1X (control de acceso a la red basado en puerto) pueden extender la misma infraestructura para manejar la autenticación WPA-Enterprise para dispositivos del personal, eliminando la necesidad de un servidor RADIUS separado.
Comparación de Plataformas
La siguiente tabla resume los principales diferenciadores entre las seis plataformas evaluadas en esta guía.
| Plataforma | Modelo de Implementación | Mejor Vertical | Profundidad Analítica | GDPR/Cumplimiento | Multisitio | API Abierta | Precios Indicativos |
|---|---|---|---|---|---|---|---|
| Purple | SaaS en la nube | Hostelería, Comercio minorista, Estadios, Transporte | Avanzado (afluencia, tiempo de permanencia, mapas de calor) | Completo (registro de auditoría, gestión de consentimientos) | Sí (centralizado) | Sí (REST) | Personalizado / por recinto |
| Cisco Meraki | Integrado en el controlador | Empresas, Sanidad, Educación | Moderado | Fuerte (conjunto de cumplimiento de Cisco) | Sí (panel de Meraki) | Parcial | Premium (hardware + licencia) |
| Cloud4Wi | SaaS en la nube | Comercio minorista multisitio, Empresas | Avanzado | Completo | Sí | Sí | Personalizado / empresarial |
| IronWiFi | SaaS en la nube | Empresas, Sanidad, Educación | Moderado | Completo (SOC 2, GDPR, HIPAA) | Sí | Limitado | SaaS por ubicación |
| Cloudi-Fi | SaaS en la nube | Empresas, Transporte, Educación | Avanzado | Completo | Sí | Parcial | Personalizado / empresarial |
| Beambox | SaaS en la nube | PYMES, Hostelería, Alimentación y Bebidas | Básico | Parcial | Limitado | No | SaaS por ubicación |
Purple
La plataforma Guest WiFi de Purple es la solución con mayor capacidad analítica en esta comparación. Su Captive Portal es la puerta de entrada a un motor más amplio de análisis de WiFi que rastrea patrones de afluencia, tiempos de permanencia, mapas de calor a nivel de zona y frecuencia de visitas repetidas. Para grandes recintos —centros comerciales, estadios, aeropuertos y cadenas hoteleras—, esto transforma la red WiFi de un centro de costes en una fuente de inteligencia operativa.
Purple es compatible con todos los métodos de autenticación estándar (inicio de sesión social a través de Google, Facebook y Apple; captura de correo electrónico; SMS OTP; click-through) y ofrece un creador de páginas de bienvenida de arrastrar y soltar con marca blanca completa. La captura de consentimiento GDPR está integrada en el flujo de incorporación, con un registro de auditoría completo almacenado por cada registro de usuario. La plataforma se integra de forma nativa con Salesforce, HubSpot, Mailchimp y docenas de otras herramientas de marketing a través de la API REST y conectores preconstruidos.
Para organizaciones que gestionan tanto el WiFi de invitados como el del personal, Purple se integra con Microsoft Entra ID, Google Workspace y Okta, permitiendo el acceso por tiempo limitado o basado en roles para contratistas y personal temporal sin necesidad de gestión manual de credenciales.
Cisco Meraki
La capacidad de Captive Portal de Meraki está integrada en el panel de Meraki y es la elección natural para organizaciones que ya operan puntos de acceso y switches Meraki. Es compatible con click-through, páginas de bienvenida de inicio de sesión e integración de facturación. La autenticación RADIUS se gestiona de forma nativa, y la plataforma se integra con Cisco ISE para una aplicación avanzada de políticas y 802.1X.
La principal limitación es el bloqueo del ecosistema: el Captive Portal de Meraki está estrechamente ligado al hardware de Meraki, y el modelo de licencia (por dispositivo, anual) lo convierte en una de las opciones más caras por ubicación. Los análisis son moderados —suficientes para informes básicos, pero no comparables a Purple o Cloud4Wi para casos de uso de inteligencia de recintos.
Cloud4Wi
Cloud4Wi es un fuerte competidor para implementaciones minoristas multisitio y empresariales donde la gestión centralizada y una experiencia de marca consistente en cientos de ubicaciones son los requisitos principales. Sus capacidades analíticas son comparables a Purple, con un mapeo detallado del recorrido del visitante e integración con las principales plataformas de análisis minorista. El precio empresarial de la plataforma refleja su posicionamiento en la cima del mercado.
IronWiFi
El posicionamiento diferenciado de IronWiFi es su combinación de Captive Portal y RADIUS en la nube en una única plataforma. Para los equipos de TI que necesitan gestionar el WiFi de invitados junto con WPA-Enterprise (802.1X) para los dispositivos del personal, esto elimina la necesidad de ejecutar un servidor RADIUS separado. La plataforma cuenta con certificación SOC 2 Tipo II y está preparada para HIPAA, lo que la convierte en la historia de cumplimiento más sólida de esta comparación. Es compatible con más de 200 proveedores de puntos de acceso, lo que es una ventaja significativa para organizaciones con parques de hardware heterogéneos.
Cloudi-Fi
Cloudi-Fi se dirige a organizaciones empresariales y del sector público con requisitos de incorporación complejos —gestión de BYOD, acceso de invitados y segmentación de dispositivos IoT desde una única plataforma. Su arquitectura nativa de la nube soporta la gestión centralizada de políticas en sitios distribuidos, y su capa de análisis proporciona datos de comportamiento del visitante comparables a Cloud4Wi.
Beambox
Beambox es el punto de entrada más accesible en esta comparación. Está diseñado para implementaciones de un solo sitio o pequeños multisitios en hostelería y alimentación y bebidas, con un proceso de configuración sencillo, inicio de sesión social e integración básica de marketing por correo electrónico. No es adecuado para implementaciones empresariales que requieran gestión de VLAN, integración 802.1X o auditorías de cumplimiento rigurosas.
Marco de Selección de Proveedores
La matriz 2x2 anterior representa las plataformas en dos ejes: profundidad analítica (horizontal) y complejidad de seguridad empresarial (vertical). Este marco ayuda a los equipos de TI y operaciones a identificar rápidamente el cuadrante que coincide con sus requisitos principales antes de contactar a los proveedores.
Las organizaciones en el cuadrante de Suite Empresarial Completa (alta analítica, alta seguridad) deberían evaluar Purple, Cloud4Wi y Cloudi-Fi. Aquellas en el cuadrante de Seguridad Primero (alta seguridad, menor prioridad analítica) deberían centrarse en Cisco Meraki, Aruba ClearPass y IronWiFi. El cuadrante de Liderazgo Analítico (alta analítica, menor complejidad de seguridad) está dominado por Purple y Cloud4Wi. El cuadrante de Sencillo y Asequible es atendido por Beambox, Spotipo y opciones de código abierto como PacketFence.
Guía de Implementación
La implementación de una solución de Captive Portal sigue una secuencia consistente independientemente de la plataforma. Los pasos a continuación representan las mejores prácticas neutrales para el proveedor para una implementación de Captive Portal basada en la nube.
Paso 1 — Revisión de la Arquitectura de Red. Antes de cualquier configuración de software, mapee su topología de red existente. Identifique la estructura de VLAN, el proveedor del punto de acceso y la versión del firmware, y lel router o firewall ascendente. Confirme que sus puntos de acceso son compatibles con RADIUS CoA (Change of Authorisation) si requiere la aplicación dinámica de políticas después de la autenticación.
Paso 2 — Diseño de SSID y VLAN. Cree un SSID de invitado dedicado, aislado de su red corporativa a través de una VLAN separada. Configure la VLAN para permitir el tráfico DNS y HTTP/HTTPS solo a los rangos de IP de la plataforma del Captive Portal (el "walled garden"). Todo el demás tráfico de clientes no autenticados debe ser descartado en el firewall.
Paso 3 — Configuración de la Plataforma. Configure la plataforma del Captive Portal con su secreto compartido RADIUS y la dirección IP o nombre de host de su controlador de puntos de acceso. Diseñe la página de bienvenida utilizando el editor de la plataforma, incorporando los activos de su marca, el método de autenticación requerido y la casilla de verificación de consentimiento GDPR con un enlace a su política de privacidad.
Paso 4 — Configuración de la Integración. Configure el envío de datos a su CRM o plataforma de automatización de marketing. Asigne los campos capturados en el inicio de sesión (correo electrónico, nombre, estado de consentimiento) a los campos correspondientes en su CRM. Configure notificaciones de webhook para nuevos registros si se requiere la sincronización de datos en tiempo real.
Paso 5 — Verificación de Cumplimiento. Antes de la puesta en marcha, verifique que el mecanismo de captura de consentimiento cumple con los requisitos del Artículo 7 del GDPR: el consentimiento debe ser libremente otorgado, específico, informado e inequívoco. La plataforma debe almacenar un registro con marca de tiempo de cada evento de consentimiento. Confirme que su acuerdo de procesamiento de datos (DPA) con el proveedor del Captive Portal está en vigor.
Paso 6 — Prueba Piloto y de Carga. Implemente en un único sitio o en un subconjunto de puntos de acceso. Simule conexiones concurrentes a la carga máxima esperada (utilice herramientas como iperf3 o un dispositivo dedicado de prueba de carga WiFi). Verifique que la latencia de autenticación se mantiene por debajo de 3 segundos en la carga máxima y que el servidor RADIUS responde en 500 ms.
Paso 7 — Despliegue y Monitorización. Despliegue en los sitios restantes. Configure alertas para fallos de autenticación RADIUS, disponibilidad del portal y errores de envío de datos. Establezca una cadencia de revisión mensual para los datos analíticos a fin de asegurar que la inversión está generando resultados empresariales medibles.
Casos de Estudio
Caso de Estudio 1: Cadena Hotelera de 350 Habitaciones — Transformación del WiFi para Hostelería
Un grupo hotelero con sede en el Reino Unido, que operaba 12 propiedades en Inglaterra y Escocia, utilizaba una solución de Captive Portal local heredada que no proporcionaba análisis y requería el registro manual del consentimiento GDPR mediante formularios en papel. El equipo de TI gestionaba 12 configuraciones de portal separadas sin visibilidad centralizada.
El grupo implementó Purple en las 12 propiedades, integrando el Captive Portal con su infraestructura de puntos de acceso Aruba existente a través de RADIUS. La página de bienvenida se configuró con captura de correo electrónico y consentimiento GDPR explícito, con los datos enviados automáticamente a Salesforce. A los 90 días de la implementación, el grupo había capturado más de 28.000 direcciones de correo electrónico de huéspedes verificadas con registros de consentimiento completos. El equipo de marketing realizó una campaña de re-engagement post-estancia que generó un aumento del 12% en las reservas directas, reduciendo los costes de comisión de OTA en aproximadamente 180.000 £ anuales. El equipo de TI redujo la sobrecarga de gestión del portal de aproximadamente 8 horas por semana a menos de 1 hora, con los 12 sitios gestionados desde un único panel de control.
Para más información sobre la implementación de WiFi para huéspedes en entornos hoteleros, consulte nuestra página de la industria hotelera .
Caso de Estudio 2: Cadena Minorista de 45 Tiendas — Análisis de Afluencia y Integración con CRM
Un minorista de moda de gama media que operaba 45 tiendas en el Reino Unido e Irlanda necesitaba comprender el comportamiento del cliente en la tienda, específicamente cómo el tiempo de permanencia en diferentes zonas se correlacionaba con las tasas de conversión. Su WiFi para huéspedes existente no proporcionaba análisis más allá de los recuentos básicos de conexión.
El minorista implementó Cloud4Wi en las 45 tiendas, con Purple evaluado como alternativa. Cloud4Wi fue seleccionado por su integración nativa con el CRM Salesforce existente del minorista y su capacidad de análisis a nivel de zona. El Captive Portal se configuró con inicio de sesión social (Google y Apple) para minimizar la fricción y maximizar las tasas de aceptación. En seis meses, el minorista había mapeado los datos de tiempo de permanencia con los datos de conversión de ventas a nivel de zona, identificando tres diseños de tienda con bajo rendimiento. La reconfiguración de esos diseños basándose en los datos analíticos produjo un aumento medible en la tasa de conversión del 8% en las zonas afectadas.
Para consideraciones de implementación específicas para el comercio minorista, consulte nuestra página de la industria minorista .
Mejores Prácticas
Las siguientes recomendaciones reflejan las mejores prácticas neutrales al proveedor para implementaciones de Captive Portal en entornos empresariales.
Mantenga el flujo de autenticación en una sola pantalla. Cada campo o paso adicional en el proceso de inicio de sesión reduce las tasas de aceptación. La investigación muestra consistentemente que requerir más que una dirección de correo electrónico y una casilla de verificación de consentimiento reduce las tasas de finalización entre un 20% y un 40%. Si necesita datos adicionales, recójalos progresivamente después de la conexión inicial.
Segmente su red correctamente desde el primer día. El WiFi para huéspedes debe estar aislado de la infraestructura corporativa. Esto no es solo un requisito de seguridad, es un requisito de cumplimiento de PCI DSS si su red corporativa maneja datos de tarjetas de pago. Utilice una VLAN dedicada y asegúrese de que sus reglas de firewall impidan cualquier movimiento lateral desde el segmento de invitados.
Mantenga un registro de auditoría de consentimiento compatible con GDPR. Según el Artículo 7 del GDPR, debe poder demostrar que se obtuvo el consentimiento. Su plataforma de Captive Portal debe almacenar un registro con marca de tiempo de cada evento de consentimiento, incluida la versión de la política de privacidad presentada en ese momento. Plataformas como Purple y IronWiFi gestionan esto de forma nativa; en plataformas más simples, es posible que deba implementarlo por separado.
Pruebe la conmutación por error de RADIUS. Si el servicio RADIUS de su plataforma de Captive Portal no está disponible, ¿qué sucede con los clientes que intentan conectarse? Asegúrese de que la configuración de su punto de acceso defina un comportamiento de respaldo: o denegar todo el acceso (fail-closed) o conceder acceso sin autenticación (fail-open). Para la mayoría de los entornos empresariales, fail-closed es el valor predeterminado correcto.
Revise su configuración de walled garden regularmente. Los proveedores de inicio de sesión social (Google, Facebook, Apple) cambian periódicamente los rangos de IP y los dominios utilizados por sus flujos de OAuth. Si estos no están incluidos en su walled garden, el inicio de sesión social fallará silenciosamente para los usuarios. Establezca un proceso de revisión trimestral para las entradas de walled garden.
Resolución de problemas y mitigación de riesgos
Los modos de fallo más comunes en las implementaciones de Captive Portal, y sus mitigaciones, son los siguientes.
El portal no aparece en dispositivos iOS o Android. Los sistemas operativos móviles modernos utilizan un Captive Network Assistant (CNA) que detecta los Captive Portal realizando una solicitud de sondeo a una URL conocida. Si el sondeo tiene éxito (es decir, el dispositivo recibe una respuesta 200 cuando espera una redirección 302), el CNA no se activará. Asegúrese de que su configuración de walled garden intercepta correctamente las URL de sondeo de Apple y Google. Verifique también que su configuración de DNS redirige todas las consultas de clientes no autenticados a la IP del portal.
Problemas de intercepción HTTPS. Los navegadores modernos aplican HSTS (HTTP Strict Transport Security) en muchos dominios, lo que impide las redirecciones HTTP a una página de bienvenida de Captive Portal. Asegúrese de que su plataforma de Captive Portal utiliza un certificado SSL válido en el dominio de su página de bienvenida y de que la redirección inicial es a una URL HTTP que la plataforma luego actualiza a HTTPS. Intentar interceptar el tráfico HTTPS directamente activará advertencias de seguridad del navegador.
Tiempos de espera de autenticación RADIUS. Si el servidor RADIUS está geográficamente distante de sus puntos de acceso, la latencia de autenticación puede exceder los umbrales aceptables. Para RADIUS basado en la nube, verifique que el proveedor tenga un punto de presencia en su región. Para implementaciones locales, asegúrese de que el servidor RADIUS esté en el mismo segmento de LAN que el controlador del punto de acceso.
Los datos de consentimiento GDPR no se sincronizan con el CRM. Los fallos en la entrega de webhooks son un problema de integración común. Implemente una cola de mensajes fallidos (dead-letter queue) o un mecanismo de reintento en el extremo receptor, y configure alertas para las entregas de webhooks fallidas. Audite la integración del CRM mensualmente para verificar que los registros de consentimiento se están escribiendo correctamente.
ROI e impacto empresarial
El caso de negocio para la inversión en software de Captive Portal se basa en tres flujos de valor: adquisición de datos de primera parte, mitigación del riesgo de cumplimiento y eficiencia operativa.
Los datos de primera parte son cada vez más valiosos a medida que la eliminación progresiva de las cookies de terceros reduce la eficacia de la publicidad digital. Un Captive Portal que captura direcciones de correo electrónico verificadas y consentidas a escala proporciona un canal de marketing directo con un ROI medible. Los puntos de referencia de la industria sugieren que un Captive Portal bien configurado en un lugar con gran afluencia puede capturar entre el 15 y el 30% de los usuarios que se conectan como contactos de marketing con consentimiento, dependiendo de la fricción del flujo de inicio de sesión.
La mitigación del riesgo de cumplimiento es más difícil de cuantificar pero significativa. Las multas de GDPR por una gestión inadecuada del consentimiento pueden alcanzar el 4% de la facturación anual global. Para una cadena minorista con £100 millones en ingresos anuales, esto representa una exposición potencial de £4 millones. Una plataforma de Captive Portal con gestión de consentimiento y registros de auditoría integrados reduce directamente esta exposición.
Las ganancias en eficiencia operativa son más visibles en implementaciones multisitio. La gestión centralizada de las configuraciones del portal, las políticas de usuario y los informes analíticos reduce significativamente los gastos generales de TI por sitio. El estudio de caso del hotel mencionado anteriormente demostró una reducción de 8 horas a menos de 1 hora por semana en 12 sitios, un ahorro anualizado equivalente a aproximadamente 0,2 FTE.
Para una exploración detallada de cómo la plataforma de Purple ofrece un ROI medible en las implementaciones de Guest WiFi, consulte las páginas de producto Guest WiFi y WiFi Analytics .
Lectura relacionada
Para los equipos que evalúan decisiones de arquitectura de red más amplias junto con su implementación de Captive Portal, los siguientes recursos son relevantes: Los beneficios clave de SD-WAN para empresas modernas cubre cómo SD-WAN puede simplificar la gestión de redes multisitio y reducir la complejidad de implementar soluciones centralizadas de Captive Portal en propiedades distribuidas.
Términos clave y definiciones
Captive Portal
A network access control mechanism that intercepts a connecting device's HTTP/HTTPS requests and redirects them to a hosted splash page, requiring the user to complete an authentication action before internet access is granted. Standardised in RFC 8952.
IT teams encounter this when configuring guest WiFi for any public-facing venue. The captive portal is the technical mechanism that enables both access control and data capture.
RADIUS (Remote Authentication Dial-In User Service)
A networking protocol defined in RFC 2865 that provides centralised Authentication, Authorisation, and Accounting (AAA) for network access. In captive portal deployments, the portal platform sends a RADIUS Access-Accept or Access-Reject message to the access point to grant or deny internet access.
Network architects encounter RADIUS when integrating a captive portal platform with access point controllers. The RADIUS shared secret and server IP address must be configured on both the portal platform and the access point controller.
Walled Garden
A set of IP addresses, domains, or URLs that unauthenticated clients are permitted to reach before completing the captive portal login flow. Typically includes the portal platform's own IP ranges, social login provider OAuth domains, and any content the operator wants to make freely accessible.
IT teams must configure the walled garden correctly to ensure that the captive portal login flow (including social OAuth) functions correctly. Incorrect walled garden configuration is the most common cause of social login failures.
IEEE 802.1X
An IEEE standard for port-based network access control that provides an authentication mechanism for devices wishing to attach to a LAN or WLAN. In WiFi deployments, 802.1X is used for WPA-Enterprise authentication, requiring each device to authenticate with a RADIUS server using EAP credentials.
Relevant when an organisation needs to manage both guest WiFi (captive portal) and secure staff WiFi (WPA-Enterprise) on the same infrastructure. Platforms like IronWiFi support both use cases from a single cloud RADIUS service.
GDPR Consent Audit Trail
A timestamped record of each instance in which a user provided consent for data collection and marketing communications, including the version of the privacy policy presented, the user identifier, and the IP address of the connecting device. Required under GDPR Article 7.
IT and legal teams must verify that their captive portal platform stores this data correctly before deployment. Inadequate consent records are a primary finding in GDPR enforcement actions against venue operators.
Splash Page
The branded web page presented to a connecting user by the captive portal system. Contains the authentication mechanism (login form, social login buttons, click-through), terms of service, privacy policy link, and GDPR consent checkbox.
Marketing teams typically own the design of the splash page; IT teams own the technical configuration. Alignment between both teams on the fields captured and the consent language is essential before deployment.
VLAN (Virtual Local Area Network)
A logical network segment created within a physical network infrastructure, used to isolate traffic between different user groups. In captive portal deployments, guest devices are placed in a dedicated guest VLAN, isolated from corporate and IoT VLANs.
Correct VLAN design is a prerequisite for any captive portal deployment. Guest VLAN isolation is a PCI DSS requirement for any venue where the corporate network handles payment card data.
RADIUS CoA (Change of Authorisation)
An extension to the RADIUS protocol (RFC 5176) that allows a RADIUS server to dynamically modify an active user session — for example, to change VLAN assignment, apply bandwidth limits, or disconnect a user — without requiring re-authentication.
Required for captive portal deployments where dynamic policy enforcement is needed post-authentication, such as applying different bandwidth tiers based on the user's subscription level or session duration.
OAuth 2.0 Social Login
An authorisation framework that allows users to authenticate with a captive portal using their existing Google, Facebook, or Apple account credentials, without creating a separate account. The portal receives a verified email address and basic profile data from the identity provider.
Social login is the highest-converting authentication method for captive portals in consumer-facing venues, as it eliminates the need for users to remember or type a password. It requires the identity provider's OAuth domains to be included in the walled garden.
PCI DSS (Payment Card Industry Data Security Standard)
A set of security standards designed to ensure that all companies that accept, process, store, or transmit credit card information maintain a secure environment. In the context of captive portals, PCI DSS requires that guest WiFi networks are fully isolated from any network segment that handles payment card data.
Relevant for any retail, hospitality, or venue operator that processes card payments on-site. Network segmentation between the guest WiFi VLAN and the payment network is a mandatory PCI DSS control.
Casos de éxito
A 350-room hotel group operating 12 properties needs to replace a legacy on-premises captive portal with a cloud-based solution. They need GDPR-compliant consent capture, CRM integration with Salesforce, and centralised management across all sites. Their existing infrastructure is Aruba access points running ArubaOS 8.x. What platform and deployment architecture should they use?
Deploy Purple as the cloud-based captive portal service, integrated with the existing Aruba infrastructure via RADIUS. Configuration steps: (1) Create a dedicated guest SSID on each Aruba controller, assigned to a guest VLAN isolated from the corporate network. (2) Configure the Aruba controller to redirect unauthenticated clients to Purple's hosted splash page URL, with the walled garden including Purple's IP ranges and the OAuth domains for social login providers. (3) In Purple's admin console, configure the RADIUS shared secret and the Aruba controller's IP address. (4) Build the splash page with email capture, GDPR consent checkbox, and a link to the hotel's privacy policy. (5) Configure the Salesforce integration in Purple, mapping email, first name, last name, and consent status to the corresponding Salesforce Lead fields. (6) Set up a webhook to notify the CRM of new registrations in real time. (7) Test the full flow on a single property before rolling out to the remaining 11. (8) Configure Purple's multi-site dashboard to provide centralised visibility across all 12 properties.
A 45-store fashion retailer needs to understand zone-level dwell time and its correlation with sales conversion. They have a heterogeneous access point estate (mix of Cisco Meraki and Ubiquiti UniFi across different stores) and an existing Salesforce CRM. They want to minimise login friction to maximise opt-in rates. Which captive portal platform should they deploy, and how should they handle the mixed hardware estate?
Deploy Purple or Cloud4Wi — both support the required analytics depth and Salesforce integration. For a mixed Meraki/UniFi estate: (1) For Meraki stores, configure the captive portal as an external splash page in the Meraki dashboard, pointing to the chosen platform's hosted URL. Meraki supports external splash pages natively via its API. (2) For UniFi stores, configure the UniFi controller's guest portal to redirect to the external splash page URL. UniFi supports external portal redirection in the guest network settings. (3) Configure social login (Google and Apple) as the primary authentication method to minimise friction — this reduces the login flow to a single tap on most mobile devices. (4) Ensure the walled garden on both controller types includes the OAuth domains for Google and Apple. (5) Map the captured social profile data (email, name) to Salesforce via the platform's native connector. (6) Use the platform's zone analytics feature to define zones within each store layout, correlating WiFi probe data with zone boundaries. (7) Export zone dwell time data monthly and join it with Salesforce sales data at the store level to identify conversion correlations.
A regional NHS trust needs to deploy guest WiFi across three hospital sites. The requirements are: HIPAA-equivalent compliance (NHS DSP Toolkit), strict network segmentation between guest and clinical VLANs, support for 802.1X for staff devices, and GDPR consent capture for patients. The existing infrastructure is a mix of Cisco and Aruba access points.
Deploy IronWiFi, which is the only platform in this comparison that natively combines captive portal for guests with cloud RADIUS for 802.1X staff authentication. Configuration: (1) Create three SSIDs per site: guest (captive portal), staff (WPA-Enterprise/802.1X), and IoT (MAC authentication). (2) Configure IronWiFi's cloud RADIUS as the authentication server for the staff SSID, integrating with the trust's Active Directory via LDAP or SAML. (3) Configure the guest SSID to redirect to IronWiFi's captive portal, with email capture and GDPR consent. (4) Ensure the guest VLAN has no routing to clinical VLANs — enforce this at the firewall, not just the VLAN configuration. (5) Configure IronWiFi's compliance reporting to generate monthly audit logs for DSP Toolkit evidence. (6) Test RADIUS failover to ensure that if the cloud RADIUS service is unavailable, staff devices fail closed (no access) rather than fail open.
Análisis de escenarios
Q1. A conference centre hosting 50 events per year, with peak concurrent WiFi users of 3,000, needs to deploy a captive portal solution. The primary requirements are: branded splash page per event sponsor, GDPR consent capture, and basic analytics on session counts and peak usage. The existing infrastructure is Cisco Meraki. Should they use Meraki's built-in captive portal, or deploy a third-party platform?
💡 Sugerencia:Consider the per-event branding requirement and the analytics depth needed. Meraki's built-in portal supports external splash pages — this is a key capability to evaluate.
Mostrar enfoque recomendado
The per-event sponsor branding requirement is the deciding factor. Meraki's built-in captive portal supports a single splash page configuration per SSID, which makes dynamic per-event branding operationally complex. A third-party platform like Purple or Cloud4Wi, configured as an external splash page in Meraki, allows the events team to switch splash page templates per event without IT intervention. The analytics requirement (session counts, peak usage) is basic and can be met by either Meraki's built-in reporting or the third-party platform. The recommended approach is to deploy Purple as an external splash page on the existing Meraki infrastructure, using Purple's template management to handle per-event branding. This preserves the existing Meraki investment while adding the operational flexibility required for a multi-event venue.
Q2. An IT manager at a 200-bed private hospital is evaluating captive portal software for patient guest WiFi. The hospital's legal team has flagged that the current setup — a simple click-through portal with no consent record — creates GDPR exposure. The hospital also needs to ensure that patient devices cannot reach clinical systems. Which platform should they deploy, and what are the three most critical configuration steps?
💡 Sugerencia:GDPR compliance and network segmentation are the two non-negotiable requirements. Consider which platforms have the strongest compliance posture and how VLAN isolation should be configured.
Mostrar enfoque recomendado
Deploy IronWiFi for its HIPAA-ready compliance posture and SOC 2 Type II certification, which provides the strongest audit evidence for the legal team. The three most critical configuration steps are: (1) VLAN isolation — create a dedicated patient guest VLAN with firewall rules that explicitly deny all routing to clinical VLANs. This must be enforced at the firewall, not just via VLAN tagging. (2) GDPR consent capture — configure the splash page with an explicit, unchecked consent checkbox linked to the hospital's privacy policy. IronWiFi stores a timestamped consent record per user, which satisfies the GDPR Article 7 audit trail requirement. (3) RADIUS fail-closed — configure the access point to deny access if the RADIUS server is unreachable, preventing unauthenticated devices from gaining network access during a cloud outage.
Q3. A retail chain with 80 stores is currently using Beambox for guest WiFi. The marketing director wants to implement post-visit email campaigns triggered by in-store WiFi connection events, with personalisation based on visit frequency and dwell time. The IT director is concerned about the cost and complexity of migrating 80 stores. How should they approach the platform migration decision?
💡 Sugerencia:Evaluate whether Beambox can meet the marketing requirements before assuming migration is necessary. If migration is required, consider the phased approach and the total cost of ownership comparison.
Mostrar enfoque recomendado
First, assess whether Beambox can meet the requirements: Beambox supports basic email marketing integration but does not provide dwell time analytics or visit frequency segmentation at the level required for personalised post-visit campaigns. Migration is therefore necessary. The recommended approach is a phased migration: (1) Select Purple or Cloud4Wi as the target platform — both support dwell time analytics, visit frequency segmentation, and direct integration with major email marketing platforms. (2) Pilot the new platform in 5-10 stores before committing to a full rollout. (3) Negotiate a parallel-run period with Beambox to avoid data gaps during migration. (4) Map the total cost of ownership: the new platform's per-location SaaS cost versus the projected revenue uplift from personalised campaigns. Industry benchmarks suggest that triggered post-visit email campaigns with visit-frequency personalisation generate 3-5x higher open rates than generic broadcast campaigns, providing a clear ROI justification for the migration cost.
