Captive Portal vs Splash Page

CAPTIVE PORTAL VS SPLASH PAGE - UN DOCUMENTO TÉCNICO DE PURPLE Guión de podcast - Aproximadamente 10 minutos Voz en inglés del Reino Unido --- BLOQUE 1: INTRODUCCIÓN Y CONTEXTO (aproximadamente 1 minuto) Bienvenido a la serie de documentos técnicos de Purple. Soy su anfitrión y hoy vamos a aclarar una de las fuentes de confusión más persistentes en la adquisición e implantación de WiFi para invitados: la diferencia entre un captive portal y una splash page. Si alguna vez ha estado en una reunión de proveedores y ha escuchado estos dos términos utilizados indistintamente, no está solo. Ocurre constantemente: en los documentos de RFP, en las presentaciones de estrategia de TI e incluso en conversaciones entre ingenieros de redes que realmente deberían conocer la diferencia. Y esta confusión es importante porque, al combinar ambos términos, se acaba especificando en exceso el componente equivocado, invirtiendo menos de lo necesario en el correcto o, lo que es peor, implantando una solución de WiFi para invitados que se ve genial pero no tiene un control de red adecuado por debajo, o una que es técnicamente sólida pero ahuyenta a los invitados con una pantalla de inicio de sesión tosca y sin marca. Así que vamos a solucionarlo hoy. Al final de este documento, tendrá un modelo mental claro de lo que hace cada componente, cómo interactúan y qué buscar al evaluar soluciones para su establecimiento, ya sea un hotel, un comercio minorista, un estadio o un edificio del sector público. --- BLOQUE 2: ANÁLISIS TÉCNICO DETALLADO (aproximadamente 5 minutos) Empecemos con el captive portal, porque es la base sobre la que se asienta todo lo demás. Un captive portal es un mecanismo a nivel de red. Su función es interceptar todo el tráfico saliente de un dispositivo recién conectado y retenerlo en una especie de sala de espera digital hasta que ese dispositivo se haya autenticado. Cuando un invitado se conecta al SSID de su WiFi, su dispositivo recibe una dirección IP a través de DHCP; esa parte funciona con normalidad. Pero antes de que se permita el paso de cualquier tráfico real de internet, el captive portal lo intercepta. Esta es la secuencia técnica. El dispositivo del invitado envía una solicitud HTTP o HTTPS: podría estar intentando cargar un sitio web, o podría ser la propia comprobación de conectividad del sistema operativo, que ejecutan automáticamente los dispositivos modernos como iPhones y teléfonos Android. El controlador del captive portal (que se encuentra en su controlador inalámbrico, en su router o en una plataforma basada en la nube) intercepta esa consulta DNS o solicitud HTTP y la redirige. En lugar de llegar a internet, el dispositivo recibe una respuesta de redirección que lo apunta a una URL específica. Esa URL es donde reside la splash page.Ahora bien, el propio mecanismo de redirección utiliza una de dos técnicas principales. La primera es el secuestro de DNS: el portal cautivo intercepta las consultas de DNS y devuelve la dirección IP del servidor del portal en lugar del destino real. La segunda es la redirección HTTP: el portal intercepta la solicitud HTTP en la puerta de enlace y emite una respuesta de redirección 302. Para el tráfico HTTPS, esto es más complejo, ya que no se puede interceptar una sesión cifrada sin provocar una advertencia de certificado. Por eso, la mayoría de las implementaciones de portal cautivo se basan en el Captive Network Assistant integrado en el sistema operativo (la ventana emergente que aparece en el teléfono al conectarse a una nueva red), que utiliza un endpoint HTTP conocido para detectar portales cautivos antes de intentar conexiones HTTPS. En la capa de red, el portal cautivo aplica el control de acceso mediante reglas de firewall. Los dispositivos no autenticados se ubican en una VLAN o subred restringida donde se bloquea todo el tráfico, excepto el de DNS y HTTP hacia el servidor del portal. Una vez que se confirma la autenticación (ya sea mediante un simple clic de aceptación, un inicio de sesión social, la captura de un correo electrónico o un intercambio de credenciales 802.1X completo), el controlador del portal actualiza las reglas de firewall para la dirección MAC de ese dispositivo, trasladándolo de la zona restringida a la zona autorizada con acceso completo a Internet. Esto es importante: el portal cautivo es invisible para el invitado. Nunca lo ve directamente. Lo que ve es la página de bienvenida. La página de bienvenida es la capa de aplicación: es el HTML, CSS y JavaScript que se renderiza en el navegador del invitado o en la ventana emergente del Captive Network Assistant. Es la interfaz visual: su marca, su logotipo, su mensaje de bienvenida, sus términos y condiciones, sus botones de inicio de sesión social, sus casillas de verificación de consentimiento de marketing. Es lo que convierte un frío evento de autenticación de red en una experiencia de invitado de marca. Piénselo de esta manera. El portal cautivo es el portero de la entrada: decide quién entra y aplica las normas. La página de bienvenida es el mostrador de recepción: es la cara de su establecimiento, recopila información y hace que el invitado se sienta bienvenido. Necesita ambos, y deben funcionar juntos a la perfección. Ahora bien, ¿por qué es importante esta distinción a nivel comercial? Porque cuando evalúa una solución de WiFi para invitados, debe hacer preguntas diferentes sobre cada componente. Para el portal cautivo, debe preguntar: ¿Qué métodos de autenticación admite? ¿Puede gestionar 802.1X para dispositivos corporativos junto con el inicio de sesión social para invitados? ¿Admite la omisión de dirección MAC para dispositivos que no pueden mostrar un navegador? ¿Cómo gestiona la expiración de las sesiones y la reautenticación? ¿Cumple con sus obligaciones de protección de datos según el GDPR? ¿Se integra con su infraestructura RADIUS? ¿Puede segmentar el tráfico por tipo de usuario, separando el tráfico de invitados del tráfico del personal en la capa de red? Para la página de inicio, se estará preguntando: ¿Qué nivel de personalización ofrece? ¿Puede su equipo de marketing editarla sin alterar la configuración de red? ¿Admite pruebas A/B? ¿Puede mostrar contenido diferente a distintos segmentos de usuarios - por ejemplo, miembros de programas de fidelización frente a visitantes nuevos? ¿Admite fondos de vídeo, banners promocionales o páginas de redirección tras la conexión? ¿Cómo funciona en dispositivos móviles? ¿Es accesible? Se trata de criterios de adquisición fundamentalmente distintos, y confundirlos suele conducir a decisiones erróneas. Hemos visto a organizaciones invertir mucho en un diseño atractivo de página de inicio para luego descubrir que el portal cautivo subyacente no es compatible con los métodos de autenticación que exige su política de seguridad de TI. También hemos visto lo contrario - implementaciones de portal cautivo técnicamente sólidas pero con páginas de inicio tan mal diseñadas que las tasas de adopción de los clientes apenas alcanzan el treinta por ciento. Hablemos de los estándares que sustentan todo esto. El mecanismo del portal cautivo no dispone de un único estándar regulador, pero funciona dentro del marco de varios de gran importancia. IEEE 802.1X es el estándar de control de acceso a redes basado en puertos que regula cómo se autentican los dispositivos en una red mediante credenciales, certificados o tokens. Es la base de la seguridad de la WiFi corporativa y cobra cada vez más relevancia incluso en contextos de WiFi de invitados, donde se desea ofrecer un acceso fluido basado en credenciales a los visitantes habituales. WPA3, el protocolo de seguridad WiFi más reciente, introduce Opportunistic Wireless Encryption, que cifra el tráfico incluso en redes abiertas - un aspecto relevante para las implementaciones de portal cautivo, ya que modifica la forma en que funciona el protocolo de enlace de la conexión inicial. Desde el punto de vista del cumplimiento normativo, el GDPR tiene implicaciones importantes en el diseño de las páginas de inicio. Si su página de inicio recopila datos personales - una dirección de correo electrónico, un nombre, un inicio de sesión social - necesita un consentimiento explícito e informado, un aviso de privacidad claro y una base jurídica para el tratamiento. La página de inicio es el lugar donde se recoge dicho consentimiento, pero el portal cautivo es el que hace cumplir la relación entre el consentimiento y el acceso. Si un invitado rechaza la opción de marketing, el portal cautivo debe seguir permitiéndole el acceso a internet - el consentimiento para fines de marketing no puede ser una condición para acceder a la red según el GDPR. PCI-DSS es relevante si su red WiFi de invitados entra dentro del alcance de los entornos de datos de tarjetas de pago - algo habitual en el sector de la distribución minorista o la hostelería. La segmentación de la red aplicada por el portal cautivo es un control clave en este aspecto, que garantiza que el tráfico de invitados esté aislado de los sistemas de pago. --- SEGMENTO 3: RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES (aproximadamente 2 minutos) Permítame presentarle dos escenarios reales que ilustran cómo se traduce esto en la práctica. En primer lugar, un grupo hotelero de 200 habitaciones. Desplegaron una solución de WiFi para invitados donde la página de bienvenida tenía una imagen de marca excelente: su logotipo, un mensaje de bienvenida y una oferta promocional para el spa. Sin embargo, el captive portal subyacente era una implementación básica de código abierto que utilizaba el secuestro de DNS sin ninguna gestión de sesiones. El resultado: a los huéspedes que volvían al hotel se les pedía que iniciaran sesión de nuevo en cada visita, incluso dentro de la misma estancia. La página de bienvenida tenía un aspecto estupendo, pero el captive portal carecía de persistencia de direcciones MAC, de configuración de tiempo de espera de sesión y de integración con el sistema de gestión hotelera. La solución requirió sustituir por completo el controlador del captive portal (la página de bienvenida estaba bien). En segundo lugar, una cadena de tiendas nacional. Desplegaron un captive portal de categoría empresarial con compatibilidad total con 802.1X, integración con RADIUS y una segmentación de tráfico sofisticada. Sin embargo, su página de bienvenida era una plantilla predeterminada: blanca, sin imagen de marca y con un mensaje genérico de "Conectarse a WiFi". La adopción de los invitados fue del 34 %. Después de invertir en una página de bienvenida con una marca bien diseñada y una opción de inicio de sesión social con un solo clic, la adopción aumentó al 71 % en tres meses. El captive portal no había cambiado en absoluto. La lección de ambos escenarios: estos componentes independientes requieren inversiones y conocimientos especializados distintos. No deje que el equipo de red se encargue del diseño de la página de bienvenida, ni que el de marketing tome decisiones sobre la arquitectura del captive portal. Errores comunes que deben evitarse: primero, asumir que una página de bienvenida es un captive portal. No lo es. Una página de bienvenida sin un captive portal es solo una página web que nadie está obligado a visitar. Segundo, desplegar un captive portal sin soporte HTTPS para la página de bienvenida. Cualquier dato recopilado en una página de bienvenida no cifrada (direcciones de correo electrónico, credenciales de inicio de sesión) se transmite en texto plano. Eso supone un riesgo de seguridad y de GDPR. Tercero, ignorar la experiencia móvil. Más del 80 % de las conexiones de WiFi para invitados se realizan desde dispositivos móviles. Si su página de bienvenida no está optimizada para móviles, estará creando fricción justo en el momento en que debería estar generando una impresión de marca positiva. - SEGMENTO 4: PREGUNTAS Y RESPUESTAS RÁPIDAS (aproximadamente 1 minuto) Permítame repasar algunas preguntas que escuchamos habitualmente. ¿Puedo tener una página de bienvenida sin un captive portal? Técnicamente sí (puede alojar una página web y dirigir a la gente a ella), pero sin el captive portal que imponga la redirección, los invitados no tendrán motivos para visitarla. No tendría captura de datos, ni gestión de consentimiento, ni control de acceso a la red. ¿Puedo tener un captive portal sin una página de bienvenida? Sí, y esto es habitual en entornos empresariales donde 802.1X gestiona la autenticación de forma silenciosa. Pero en despliegues orientados a invitados, casi siempre querrá una página de bienvenida para gestionar la experiencia de usuario y la captura de datos. ¿Rompe WPA3 los Captive Portals? No si se implementa correctamente. WPA3 con Opportunistic Wireless Encryption es compatible con despliegues de Captive Portal, pero requiere que el portal utilice HTTPS y que la red anuncie la URL del portal de forma correcta. Algunos dispositivos cliente más antiguos presentan problemas de compatibilidad, por lo que muchos centros optan por configuraciones de SSID dual. ¿Es seguro el inicio de sesión social a través de la página de inicio? Depende de la implementación. El inicio de sesión social basado en OAuth 2.0 - a través de Google, Facebook o Apple - es seguro si se implementa de manera correcta. La página de inicio gestiona el flujo de OAuth y el Captive Portal recibe un token que confirma la autenticación. El riesgo clave reside en cómo se valida ese token y cómo se gestiona la sesión. --- SEGMENTO 5: RESUMEN Y PRÓXIMOS PASOS (aproximadamente 1 minuto) Terminemos con los puntos clave. Primero: un Captive Portal y una página de inicio no son lo mismo. El Captive Portal es el mecanismo de control de red - intercepta el tráfico y aplica las reglas de acceso. La página de inicio es la interfaz visual - es lo que el invitado ve y con lo que interactúa. Segundo: trabajan juntos. El Captive Portal redirige al invitado a la página de inicio. La página de inicio recopila la autenticación o el consentimiento. El Captive Portal concede entonces el acceso en función de ese resultado. Tercero: evalúelos por separado. Formule preguntas diferentes, aplique distintos conocimientos especializados y asigne un presupuesto independiente para cada uno. Cuarto: el cumplimiento normativo reside en la intersección de ambos. El consentimiento de GDPR se captura en la página de inicio, pero lo aplica el Captive Portal. Asegúrese de hacer bien ambos. Quinto: Purple ofrece ambos. Si busca una plataforma que gestione el control de Captive Portal de nivel empresarial junto con un diseño de página de inicio rico y personalizable - con analíticas completas, herramientas de cumplimiento de GDPR e integraciones con su infraestructura actual - eso es exactamente para lo que se ha diseñado Purple. Como próximos pasos, le recomiendo revisar las guías de implementación de Purple sobre autenticación 802.1X y analíticas de WiFi para invitados. Los enlaces se encuentran en las notas del programa. Y si se encuentra en medio de un proceso de adquisición de software, póngase en contacto con el equipo de Purple para una evaluación técnica - merece la pena definir correctamente la arquitectura antes de comprometerse con un despliegue. Gracias por escucharnos. Hasta la próxima. --- FIN DEL GUION