Arquitectura de WiFi para huéspedes de hotel: integración con PMS, Captive Portals y control de ancho de banda

Bienvenido al Purple Technical Briefing. Hoy trataremos la arquitectura de WiFi para huéspedes de hoteles, concretamente los tres pilares que determinan si su despliegue tiene éxito o fracasa: la integración con PMS, el diseño del Captive Portal y el control de ancho de banda. Si es usted director de TI, arquitecto de red o CTO responsable de un hotel o de una cartera de propiedades, este briefing es para usted. Entraremos en detalles técnicos, pero de forma práctica. Cada punto conecta con una decisión que tendrá que tomar. Comencemos con la propia arquitectura. Una red WiFi de hotel no es un despliegue de oficina estándar. Tiene que dar servicio al menos a tres poblaciones distintas simultáneamente: huéspedes, personal y sistemas del edificio. Cada una tiene requisitos de seguridad, rendimiento y cumplimiento normativo completamente diferentes. El error fundamental que cometen la mayoría de los despliegues es tratar a las tres como una sola red. El enfoque correcto es la segmentación por VLAN (redes de área local virtuales, definidas en el estándar IEEE 802.1Q). Se crean redes lógicamente separadas sobre la misma infraestructura física. El WiFi de invitados se ubica en la VLAN 10, aislado de todo lo interno. El acceso del personal se ubica en la VLAN 20, autenticado mediante 802.1X contra su servidor RADIUS. Los dispositivos IoT (smart TVs, termostatos, cerraduras de puertas) se ubican en la VLAN 30 con reglas de firewall estrictas que limitan a qué pueden acceder. Y si tiene terminales de punto de venta en cualquier parte de la propiedad, necesitan su propia VLAN por completo, ya que la normativa PCI DSS exige que los entornos de datos de titulares de tarjetas estén aislados de cualquier otro tráfico de red. Esto no es opcional. Es un requisito básico de cumplimiento normativo. Y también es su principal defensa contra el movimiento lateral: el patrón de ataque en el que un dispositivo de huésped comprometido sondea sus sistemas internos. Ahora, pasemos a la capa inalámbrica. Si está desplegando nueva infraestructura hoy en día, debería especificar WiFi 6 (IEEE 802.11ax). En entornos de alta densidad, como salas de conferencias o grandes espacios para eventos, WiFi 6E añade la banda de 6 gigahercios, lo que le proporciona significativamente más espectro con el que trabajar. La mejora clave de rendimiento con respecto a la generación anterior es OFDMA (acceso múltiple por división de frecuencias ortogonales), que permite que un único punto de acceso atienda a múltiples clientes de forma simultánea en lugar de secuencial. En términos prácticos, se obtiene aproximadamente cuatro veces más capacidad de rendimiento por punto de acceso en comparación con WiFi 5, con una latencia mucho menor bajo carga. La ubicación de los puntos de acceso importa más de lo que la mayoría de la gente cree. El instinto es colocar los AP en los pasillos. Eso es un error. En un hotel, se busca cobertura dentro de la habitación. La mejor práctica es un AP por habitación, o como mínimo uno por cada dos habitaciones, montado en el techo o detrás de la televisión. Esto elimina el problema de la sombra del pasillo, donde la señal tiene que penetrar dos paredes para llegar al huésped. Para los espacios públicos (vestíbulos, restaurantes, salas de conferencias), encargue un estudio de cobertura de RF adecuado antes de finalizar la ubicación. Cada punto de acceso debe estar cableado. Cat 6A a cada AP, terminado en un switch PoE en cada planta. El WiFi en malla está bien para un hogar. En un hotel, se necesita un backhaul determinista y de baja latencia. Ahora hablemos de la integración con el PMS (Property Management System). Aquí es donde la arquitectura de WiFi para hoteles difiere más radicalmente de una implementación empresarial estándar. El PMS es el sistema de registro de la estancia de cada huésped. Sabe quién ha hecho el check-in, en qué habitación está, cuándo hace el check-out y qué categoría de tarifa ha reservado. Integrar su Captive Portal con el PMS permite a los huéspedes autenticarse utilizando su número de habitación y su apellido, sin contraseñas que recordar ni códigos de cupón que escribir. El Captive Portal envía una consulta API en tiempo real al PMS, valida las credenciales frente a las reservas activas y concede el acceso en un plazo de 200 a 500 milisegundos. El protocolo que sustenta la mayoría de estas integraciones es FIAS (Fidelio Interface Application Specification). Desarrollado originalmente para el PMS Fidelio, ahora Oracle Opera, FIAS se ha convertido en el estándar de facto para las interfaces de sistemas hoteleros. Más allá de la autenticación, la integración con el PMS permite la gestión automática de las sesiones. Cuando un huésped realiza el check-out, el PMS envía un evento de check-out a la plataforma de WiFi, que revoca su token de acceso de inmediato. Sin necesidad de intervención manual. El valor de los datos aquí es significativo. Cada sesión de WiFi autenticada crea un registro de huésped verificado: nombre, correo electrónico, tipo de habitación, duración de la estancia y tipo de dispositivo. Esos datos, capturados con el consentimiento explícito de la GDPR en la página de bienvenida, se convierten en un activo de marketing de primera mano. La plataforma de Purple ha procesado 440 millones de inicios de sesión en 2024 en 80.000 establecimientos. Los datos de huéspedes capturados a través de portales cautivos integrados con el PMS alcanzan sistemáticamente tasas de validación del 70 al 80 por ciento, frente al 30 o 40 por ciento de los envíos de formularios no validados. Pasemos al diseño del Captive Portal. Un Captive Portal es la pasarela de autenticación con la que se topan los huéspedes cuando se conectan por primera vez. Intercepta el tráfico HTTP y redirige el navegador a una página alojada antes de conceder acceso a internet. El mecanismo técnico funciona de la siguiente manera. El punto de acceso o controlador asigna al dispositivo del huésped una dirección IP restringida. Todas las solicitudes HTTP se redirigen a la URL del portal mediante una interceptación de DNS. El huésped se autentica. El controlador recibe una señal de autorización del servidor RADIUS. La dirección MAC del dispositivo se añade a la lista de permitidos. Se concede el acceso normal a internet. El cumplimiento de la GDPR en el Captive Portal no es negociable. Su página de bienvenida debe presentar un aviso de privacidad claro, opciones de consentimiento explícito para marketing y un mecanismo para que los huéspedes ejerzan sus derechos de datos. Fundamentalmente, el consentimiento para usar el WiFi no es lo mismo que el consentimiento para recibir correos electrónicos de marketing. Deben ser opciones de consentimiento separadas e independientes. La plataforma de Purple gestiona esto de forma nativa, con registros de consentimiento vinculados a cada perfil de usuario e historiales de auditoría disponibles para revisión regulatoria. Por seguridad, WPA3 es el estándar actual. WPA3-Personal utiliza la autenticación simultánea de iguales (SAE), lo que elimina la vulnerabilidad a los ataques de diccionario presente en WPA2-PSK. Para redes de invitados, un SSID abierto detrás de un Captive Portal con cifrado inalámbrico oportunista (OWE) proporciona cifrado sin necesidad de una clave precompartida. El aislamiento de clientes debe estar habilitado en todos los SSIDs de invitados para evitar el tráfico peer-to-peer entre los dispositivos de los invitados. Ahora, el control de ancho de banda. Este es el tercer pilar y, a menudo, es el que menos se planifica. La regla general para la planificación del ancho de banda hotelero es esta: planifique para la demanda máxima, no para la demanda media. Para un establecimiento de gama media, presupueste de 10 a 25 megabits por segundo por habitación. Para un hotel de servicio completo, de 25 a 50 megabits por segundo por habitación. Para un establecimiento de lujo o enfocado a conferencias, de 50 a 100 megabits por segundo por habitación. La limitación de velocidad por cliente evita que un solo invitado sature su enlace ascendente. En Cisco Meraki, esto se configura como un límite de ancho de banda por cliente en el SSID. En HPE Aruba, es una política de rol de usuario aplicada a través del controlador. En Juniper Mist, es una política de límite de velocidad de WLAN. El mecanismo varía según el proveedor, pero el principio es el mismo: definir un límite de bajada y de subida por dispositivo y aplicarlo a nivel de controlador. La calidad de servicio (QoS) se sitúa por encima de la limitación de velocidad. WMM, WiFi Multimedia, es el estándar 802.11e que define cuatro colas de tráfico: voz, vídeo, mejor esfuerzo (best effort) y fondo. Las llamadas de VoIP y de vídeo deben priorizarse en las colas de voz y vídeo. La navegación web y las descargas entran en la categoría de mejor esfuerzo. Configurar WMM correctamente significa que un invitado en una videollamada no sufrirá interrupciones cuando la persona de la habitación de al lado comience una descarga pesada. Permítame ahora ofrecerle las recomendaciones de implementación y los errores que debe evitar. Comience con un estudio de cobertura (site survey). Antes de tocar un solo cable, recorra el establecimiento con un analizador de espectro. Identifique las fuentes de interferencia existentes: redes vecinas, hornos microondas en la cocina, teléfonos DECT en recepción. Esto servirá de base para su plan de canales y la ubicación de los AP. En segundo lugar, diseñe su arquitectura de VLAN antes de configurar nada. Planifique: VLAN de WiFi de invitados, VLAN de personal, VLAN de IoT y sistemas del edificio, y VLAN de gestión. Documente y apruebe esto antes del despliegue. En tercer lugar, dimensione correctamente su enlace ascendente de internet. Para un hotel de 200 habitaciones con una ocupación del 80 por ciento, planificar 25 megabits por habitación en horas punta le ofrece un ancho de banda mínimo garantizado de 4 gigabits por segundo. Una línea dedicada con capacidad ampliable (burstable) es el producto adecuado en este caso, no una conexión de banda ancha estándar. Los errores comunes. El más habitual es el infraprovisionamiento del enlace ascendente y, posteriormente, culpar a la infraestructura inalámbrica cuando los huéspedes se quejan. Nueve de cada diez veces, un WiFi de hotel lento es un problema de ancho de banda de internet, no un problema de radiofrecuencia. El segundo error es implementar un Captive Portal que recopile datos pero que no tenga un flujo de trabajo de marketing posterior. Ya ha creado el activo de datos. Ahora utilícelo. Correos electrónicos previos a la estancia, encuestas posteriores a la estancia, inscripción en programas de fidelización, ofertas personalizadas durante la estancia. Preguntas rápidas. ¿Necesito WiFi 6 o me bastará con WiFi 5? Si va a implementar una nueva infraestructura hoy en día, elija siempre WiFi 6. La diferencia de coste es mínima y el margen de rendimiento es significativo. ¿Debería cobrar a los huéspedes por el WiFi? No. En 2026, el WiFi de pago para huéspedes es un lastre para la satisfacción del cliente. ¿Cómo gestiono a un huésped que se queja de que el WiFi va lento? Primero, compruebe la utilización del enlace ascendente de internet. Segundo, compruebe el recuento de asociación de los puntos de acceso. Tercero, busque puntos de acceso no autorizados o interferencias en su planificación de canales. Para terminar. La arquitectura de WiFi para huéspedes de hotel bien hecha es un activo estratégico, no un coste de servicios públicos. Las tres conclusiones clave: Uno: segmente su red desde el primer día. Huéspedes, personal e IoT en VLAN independientes, con un cortafuegos entre ellos. Dos: integre su Captive Portal con su PMS. La autenticación mediante número de habitación y apellido le proporciona datos verificados de los huéspedes y una gestión de sesiones fluida. Tres: dimensione su enlace ascendente de internet para la demanda máxima, no para la demanda media, e implemente una limitación de velocidad por cliente para proteger la experiencia de cada huésped en la red. Gracias por su atención.