Software de Captive Portal de marca blanca: qué deben comprobar los MSP y distribuidores antes de firmar

El software de Captive Portal de marca blanca permite a un MSP o distribuidor vender páginas de inicio de sesión de WiFi de invitados bajo su propia marca. Antes de firmar, confirme seis aspectos: autenticidad multinquilino con administración delegada, personalización de marca en el dominio, correos electrónicos e informes, compatibilidad con todos los proveedores de puntos de acceso que instale, un modelo de facturación que proteja su margen, registros de consentimiento de GDPR propiedad de su cliente y API documentadas.

¿Qué modelo de Captive Portal de marca blanca debería elegir?

Un Captive Portal es la página web que ve un dispositivo antes de que la red le conceda acceso a Internet. El IETF establece la arquitectura en la RFC 8952. La RFC 8908 define una API que informa a los dispositivos de la presencia de un portal.

El software de Captive Portal de marca blanca le permite vender esa página de inicio de sesión bajo su propia marca. La consola y los informes asociados también muestran su marca.

Tres modelos comerciales dominan el mercado de distribuidores. Se diferencian en tres puntos:

• quién mantiene el contrato con el cliente
• hasta dónde llega su marca
• con qué claridad se separan los datos de cada cliente

Elija primero el modelo y, a continuación, evalúe a los proveedores dentro de él.

Modelo	Su marca aparece en	Aislamiento de datos del cliente	Quién mantiene el contrato con el cliente	Facturación habitual	Ideal para
Marca blanca completa, multinquilino	Página de inicio de sesión, dominio personalizado, consola de administración, correos electrónicos, SMS e informes	Inquilino independiente por cliente, con roles de administración y claves API delimitados	Usted	Al por mayor por ubicación o por punto de acceso; usted fija el precio de venta final	MSP con centro de soporte técnico y una cartera de clientes con instalaciones físicas
Distribuidor con marca compartida	Solo página de inicio de sesión y correos electrónicos; la consola y los informes muestran al proveedor	Subcuentas o carpetas dentro de una cuenta compartida	Usted o el proveedor	Precio de lista del proveedor menos un descuento de distribuidor	Distribuidores que añaden WiFi de invitados a una venta de hardware
Recomendación o contrato directo	Marca del proveedor en todo el proceso; usted figura como instalador	Cuenta del proveedor propia del cliente	El proveedor	Precio de lista del proveedor; usted obtiene una comisión de recomendación o ingresos por servicios	Socios que ejecutan proyectos puntuales sin centro de soporte técnico

La mayoría de los MSP con un centro de soporte técnico y varios clientes con instalaciones físicas eligen el primer modelo. El resto de esta guía asume ese modelo y le muestra cómo comprobar lo que ofrece cada proveedor.

En qué se diferencian realmente las plataformas de Captive Portal de marca blanca

Todas las demostraciones de proveedores muestran una página de inicio de sesión personalizada. Las diferencias reales se encuentran en la infraestructura interna, repartidas en seis áreas. En conjunto, determinan su margen, su exposición en materia de cumplimiento normativo y su carga de soporte técnico.

Auténtica arquitectura multinquilino y administración delegada

Una auténtica arquitectura multinquilino significa un cliente por inquilino. Los datos, la configuración, las cuentas de administración y las claves API están aislados a nivel de plataforma. Una carpeta dentro de una cuenta compartida no es un inquilino. Si un rol mal configurado expone la lista de invitados de un cliente a otro, la responsabilidad de la brecha será suya.

Pruebe la administración delegada en un inquilino de prueba, no en una presentación. Necesita al menos cuatro roles:

• su propio superadministrador
• un administrador de cliente
• un gestor de ubicación limitado a un único centro
• un rol de marketing de solo lectura

El director general de un hotel debe ver únicamente su propio hotel y nada más.

Solicite el inicio de sesión único mediante SAML 2.0, el estándar de OASIS para el acceso federado. Debe funcionar con Microsoft Entra ID, Okta y Google Workspace.

SCIM 2.0 (System for Cross-domain Identity Management, RFC 7643 y RFC 7644) automatiza la creación y eliminación de cuentas de administrador. Sin esta función, un empleado que abandona la empresa de su cliente mantendrá el acceso a la consola hasta que alguien lo recuerde. Compruebe que los registros de auditoría se conserven por cliente y se puedan exportar, para que pueda mostrar a un cliente quién ha cambiado qué.

Nivel de personalización de marca: dominio, correo del remitente, portal e informes

El nivel de personalización de marca es donde la mayoría de las afirmaciones de "marca blanca" se quedan cortas. Evalúe cada superficie que un invitado o cliente pueda ver:

• Dominio de la página de inicio de sesión. El Captive Portal debe cargarse desde su dominio o el de su cliente. El proveedor debe renovar su certificado TLS de forma automática.
• Consola de administración. Su logotipo, sus colores y su URL deben estar en la pantalla de inicio de sesión. Una consola con la marca del proveedor le indica a su cliente exactamente a quién llamar en la renovación.
• Correo electrónico del remitente. Los códigos de verificación y los correos de marketing deben enviarse desde su dominio. Esto requiere que SPF (RFC 7208), DKIM (RFC 6376) y DMARC (RFC 7489) estén alineados con su dominio, o los mensajes terminarán en la carpeta de spam.
• ID de remitente de SMS. Los mensajes de texto de verificación deben mostrar su nombre o el de la ubicación, nunca el del proveedor.
• Informes. Las exportaciones programadas y los paneles de control deben llevar la imagen de su marca, sin marcas de agua del proveedor. Si revende WiFi Analytics, el informe mensual es el producto que su cliente realmente ve.
• Enlaces de ayuda y páginas de estado. Los enlaces de la consola deben dirigir a su base de conocimiento, o a ninguna parte.

Las plantillas por cliente también son importantes. Un grupo de pubs y un ayuntamiento requieren flujos de inicio de sesión, textos de consentimiento e idiomas diferentes.

Cobertura de hardware en toda su base instalada

Sus clientes ya poseen puntos de acceso, y rara vez proceden de un solo proveedor. Solicite la lista de dispositivos compatibles por nombre y por plataforma de gestión: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks y Fortinet. Decir "todos los principales proveedores" es un motivo de alarma, no una respuesta.

La compatibilidad implica mucho más que una simple redirección. Para cada proveedor, confirme cuatro capacidades:

• redirección a un Captive Portal externo
• autenticación RADIUS (Remote Authentication Dial-In User Service, RFC 2865)
• contabilidad RADIUS (RFC 2866) para los datos de la sesión
• configuración de jardines vallados (walled gardens) para inicios de sesión mediante redes sociales y pagos

Solicite una guía de integración publicada para cada proveedor. Luego, realice pruebas en el firmware que sus clientes utilizan realmente.

La cobertura de hardware también le protege durante los ciclos de renovación tecnológica. Una superposición en la nube se sitúa por encima de la red, de modo que un cliente puede cambiar de proveedor de puntos de acceso sin alterar la experiencia del invitado. Esto es fundamental para cualquier infraestructura que esté evaluando Planning a WiFi 6 to WiFi 7 access point refresh when Cisco Meraki WiFi 6 reaches end of sale.

El Guest WiFi de Purple funciona como una superposición en la nube independiente del hardware en los ocho proveedores anteriores. Encontrará más información en Por qué su próxima actualización de WiFi no necesita hardware nuevo.

Algunos clientes querrán algo más que acceso de invitados. Pregunte si la plataforma admite 802.1X, el estándar IEEE para el control de acceso a la red basado en puertos. Pregunte también sobre iPSK (clave precompartida de identidad), que otorga a cada dispositivo o persona su propia clave WiFi. Si añade acceso para el personal, tenga a mano la Guía de TI empresarial para la resolución de problemas de autenticación 802.1X en Windows 11.

Passpoint, también llamado Hotspot 2.0, permite que los invitados que vuelven se reconecten automáticamente sin pasar por un portal. OpenRoaming, la federación de la Wireless Broadband Alliance, hace lo mismo en todas las redes participantes. Una plataforma que no los incluya limita lo que podrá vender más adelante.

Registros de consentimiento de GDPR propiedad de su cliente

Según el GDPR, su cliente, el operador del establecimiento, es normalmente el responsable del tratamiento de los datos de los invitados (Artículo 4(7)). Usted actúa como encargado del tratamiento y el proveedor de la plataforma como su subencargado. El Artículo 28 exige un contrato por escrito en cada eslabón de esa cadena. El Artículo 28(2) prohíbe que un encargado recurra a un subencargado sin la autorización previa por escrito del responsable.

El Artículo 7(1) exige que el responsable demuestre el consentimiento. Eso implica un registro completo por invitado:

• marca de tiempo
• el texto exacto mostrado
• la versión del aviso de privacidad
• el canal
• los fines aceptados

Una casilla de "aceptó marketing" no es suficiente. El Recital 32 añade que las casillas preseleccionadas no constituyen consentimiento. Para el marketing por correo electrónico y SMS en el Reino Unido, el consentimiento también debe cumplir con las Regulaciones de Privacidad y Comunicaciones Electrónicas (PECR).

Compruebe tres puntos del contrato antes de firmar:

1. El proveedor no reclama ningún derecho a utilizar los datos de los invitados para sus propios fines. Si lo hace, se convierte en responsable del tratamiento y el aviso de privacidad de su cliente debe indicarlo.
2. El Artículo 28(3)(g) exige la devolución o supresión de los datos personales al finalizar el contrato. Obtenga por escrito el formato de exportación, el plazo y el coste.
3. El proveedor publica una lista de subencargados y le notifica los cambios para que pueda trasladar el aviso a los clientes.

Purple integra opciones de inclusión de elección consciente en el flujo de inicio de sesión, de modo que cada invitado elige activamente recibir marketing. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR.

Acceso a API y webhooks

Las API determinan qué parte de su propio servicio puede desarrollar. Solicite una API REST documentada con claves delimitadas a un único cliente. De este modo, una clave comprometida no podrá acceder a todos los clientes. Los puntos finales masivos para clientes, establecimientos y plantillas de portales le permiten automatizar la incorporación mediante scripts en lugar de hacer clic manualmente.

Los webhooks envían eventos, como el inicio de sesión de un invitado o una nueva aceptación, al CRM de su cliente a medida que ocurren. Compruebe tres cosas:

• las cargas útiles están firmadas, de modo que el receptor pueda verificar el remitente
• las entregas fallidas se reintentan automáticamente
• los límites de velocidad y cualquier cargo adicional por el acceso a la API se confirman por escrito

Escalado de soporte

En una plataforma de marca blanca, usted es el soporte de primer nivel. El establecimiento le llama a usted y el proveedor nunca debe contactar directamente con su cliente. Esto convierte a la ruta de segundo nivel del proveedor en el término de servicio más importante.

Incluya esto en el contrato:

• niveles de gravedad definidos
• objetivos de tiempo de respuesta para cada nivel
• un contacto asignado para partners
• una ruta directa con el equipo de ingeniería para incidentes de caída completa de la sede

El Artículo 33(2) exige que el encargado del tratamiento notifique cualquier brecha de seguridad al responsable sin dilación indebida. El contrato con su proveedor debe garantizarle esta notificación con la rapidez suficiente para cumplir con dicha obligación frente a su cliente.

Solicite también pruebas de escala. Purple gestionó 440 millones de inicios de sesión en 2024 en más de 80 000 establecimientos activos en más de 90 países (datos propios de Purple).

Cuándo elegir una plataforma de marca blanca totalmente multinquilino

Elija una solución de marca blanca completa cuando gestione la relación con el cliente de principio a fin. Esto suele significar que se cumplen tres condiciones:

• cuenta con su propio centro de soporte
• factura mensualmente a los clientes
• gestiona varios clientes con establecimientos en distintos sectores

El WiFi para invitados se convierte así en una partida recurrente en su propia factura.

También resulta ideal para entornos con hardware mixto. Una única plataforma independiente del hardware sustituye a múltiples consolas específicas de cada fabricante. Sus ingenieros aprenden a utilizar un único sistema y los informes de todos los clientes mantienen el mismo formato.

Caso práctico: un grupo hotelero regional con dos proveedores de hardware

Situación. Un MSP gestionaba el WiFi para invitados de un grupo regional de 14 hoteles. Nueve hoteles utilizaban Cisco Meraki. Cinco hoteles, adquiridos el año anterior, utilizaban Ruckus con un total de 210 puntos de acceso. La opción preseleccionada por el MSP para el Portal Cautivo solo era compatible con Meraki.

Acciones realizadas. El MSP cambió su selección hacia plataformas independientes del hardware y realizó una prueba piloto en dos hoteles que abarcaba a ambos fabricantes. Creó un único inquilino para el grupo, asignando cada hotel como un establecimiento. Los directores generales recibieron roles restringidos a su sede. El responsable de marketing del grupo obtuvo acceso de solo lectura a los informes de los 14 hoteles.

Resultado (cifras orientativas). Los 210 puntos de acceso Ruckus se mantuvieron en servicio en lugar de ser sustituidos. El grupo implementó un único diseño de inicio de sesión, un mismo texto de consentimiento y un único informe mensual para todas sus propiedades.

Para obtener más información sobre este sector, consulte Hoteles y WiFi en restaurantes: guía sobre cobertura y seguridad.

Cuándo elegir un contrato directo o con marca compartida

La marca blanca completa no siempre justifica la carga administrativa. Es posible que venda el WiFi para invitados como un complemento puntual en un proyecto de hardware. En ese caso, una cuenta de marca compartida o un modelo de recomendación resulta más sencillo y le evita asumir el soporte de primer nivel para un producto que no desea gestionar.

Un contrato directo se adapta mejor a grandes clientes individuales que cuentan con su propio departamento de TI, como una cadena nacional de Retail. Es muy probable que su equipo de compras prefiera contratar directamente con el proveedor. Además, los clientes de sectores regulados, como la Sanidad, suelen realizar sus propias auditorías de evaluación de proveedores.

Usted sigue obteniendo ingresos por la instalación, la gestión de red y las inspecciones de cobertura. WiFi Site Surveys: A Practical Planning Guide cubre ese trabajo preparatorio.

Cómo se fija el precio del software de Captive Portal de marca blanca

Dominan tres unidades de facturación: por ubicación, por punto de acceso y por invitado. La mayoría de los proveedores venden al por mayor y usted establece el precio minorista. Su margen depende menos del descuento que de hacer coincidir su unidad de facturación con la del proveedor.

Modelo de facturación	Usted paga por	Previsibilidad del coste	Principal riesgo para usted	Ideal para
Por ubicación	Cada recinto, independientemente del tamaño	Alta: solo cambia cuando un recinto se suma o se da de baja	Las ubicaciones pequeñas cuestan lo mismo que las grandes	Cadenas de recintos similares: pubs, restaurantes de servicio rápido, tiendas a pie de calle
Por punto de acceso	Cada punto de acceso gestionado	Alta: solo cambia con proyectos de hardware	La densificación o una actualización a WiFi 7 añade licencias	Estadios, centros de conferencias y otros recintos con picos de asistencia
Por invitado	Cada invitado autenticado al mes	Baja: varía en función de la asistencia	Los picos de eventos generan sorpresas en la factura a menos que se establezca un límite	Pilotos, recintos de temporada y ubicaciones con poco tráfico

La estructura más segura factura a su cliente en la misma unidad en la que el proveedor le factura a usted. Si paga por punto de acceso pero cobra por ubicación, cada proyecto de densificación mermará su margen.

Antes de firmar, verifique cuatro costes adicionales:

• plazos mínimos de permanencia
• cláusulas de incremento anual
• cargos por acceso a API o clientes adicionales
• verificación por SMS, que a menudo no está incluida en la licencia

Caso práctico: un centro de conferencias con picos vinculados a eventos

Situación. Un distribuidor presentó un presupuesto de WiFi para invitados para un centro de conferencias con 120 puntos de acceso. La asistencia mensual oscilaba entre unos 3000 visitantes en los meses de menor actividad y 45 000 durante una gran feria comercial.

Qué se hizo. El primer proveedor fijó el precio por invitado. El distribuidor modeló 12 meses de asistencia y descubrió que la factura variaba por un factor de 15. Cambió a un proveedor que facturaba por punto de acceso y cobró al recinto una tarifa mensual fija.

Resultado (cifras ilustrativas). La partida de licencias se mantuvo en 120 puntos de acceso cada mes, por lo que la varianza del coste mensual se redujo a cero. El recinto presupuestó una cifra anual fija. El margen del distribuidor dejó de depender del calendario de eventos.

Cómo decidir para su cartera: preguntas para RFP y señales de alarma

Envíe a cada proveedor preseleccionado las mismas preguntas y solicite respuestas por escrito. A continuación, verifique las más importantes en un entorno de prueba.

Preguntas para RFP que debe enviar

1. ¿Es cada cliente una entidad independiente con datos, configuraciones, cuentas de administrador y claves de API aislados?
2. ¿Qué roles de administrador existen y se puede restringir un rol a un único recinto?
3. ¿Admiten el inicio de sesión único SAML 2.0 con Microsoft Entra ID, Okta y Google Workspace, además del aprovisionamiento SCIM?
4. ¿Pueden el Captive Portal, la consola, el remitente de correo electrónico, el ID del remitente de SMS y los informes llevar todos nuestra marca?
5. ¿Quién emite y renueva los certificados TLS para dominios personalizados?
6. ¿Qué fabricantes de puntos de acceso admiten y tienen publicada una guía de integración para cada uno de ellos?
7. ¿Admiten autenticación y contabilidad RADIUS, 802.1X, iPSK, Passpoint y OpenRoaming?
8. ¿Cuál es la unidad de facturación, el plazo mínimo y el incremento anual?
9. ¿Cuánto cobran por los SMS, el acceso a la API o los inquilinos adicionales?
10. ¿Utilizan los datos de los invitados para algún fin propio?
11. ¿Qué contiene un registro de consentimiento y en qué formatos puede exportarlo nuestro cliente?
12. ¿Cómo y cuándo devuelven o eliminan los datos al finalizar el contrato?
13. ¿Dónde está su lista de subencargados del tratamiento y cómo notifican los cambios?
14. ¿Cuáles son sus niveles de gravedad y objetivos de respuesta, y con qué rapidez nos notificarán una brecha de seguridad?
15. ¿Cuál es el alcance de su certificado ISO 27001?

Señales de alarma que deberían frenar una firma

Área	Aspecto correcto	Señal de alarma
Multinquilino	Inquilino independiente por cliente con datos y claves de API aislados	Los clientes se ubican en carpetas dentro de una sola cuenta compartida
Marca	Su propio dominio en el portal, la consola, los correos electrónicos, los SMS y los informes	El nombre del proveedor aparece en los correos electrónicos, la URL de la consola o los pies de página de los informes
Hardware	Fabricantes específicos, cada uno con una guía de integración publicada	"Todos los principales fabricantes" sin una lista detallada
Facturación	La unidad de facturación coincide con la forma en que cobras a los clientes, con incrementos limitados	Precios por invitado sin límite, o acceso a la API solo en el nivel más alto
Datos de invitados	El cliente es el responsable del tratamiento; el proveedor procesa solo bajo sus instrucciones	El proveedor se reserva el derecho de utilizar los datos de los invitados para fines propios
Salida	Registros de consentimiento exportados en CSV o JSON en un plazo acordado	Exportación solo bajo petición, previo pago o en un formato propietario
Soporte	Niveles de gravedad, objetivos de respuesta y un contacto de escalado asignado	Solo formulario de incidencias, sin tiempos de respuesta definidos

Caso práctico: un ayuntamiento que cambia de distribuidor

Situación. Un distribuidor gestionaba el WiFi para invitados de un ayuntamiento en 22 bibliotecas y centros deportivos. Al volver a licitar, el ayuntamiento eligió a un proveedor diferente. Su equipo de eventos contaba con el consentimiento de unos 38.000 visitantes para recibir novedades.

Qué se hizo. El contrato del distribuidor con el fabricante incluía una cláusula de salida basada en el Artículo 28(3)(g). La cláusula exigía una exportación en JSON de cada registro de consentimiento en un plazo de 30 días, con marca de tiempo, versión del texto redactado y canal.

Resultado (cifras ilustrativas). El ayuntamiento importó los 38.000 registros de consentimiento en su nueva plataforma. Pudo seguir enviando correos electrónicos a los visitantes sin necesidad de lanzar una campaña para solicitar permiso de nuevo. El distribuidor finalizó la relación con una confirmación por escrito de que su copia de los datos se había eliminado.

Preguntas frecuentes

¿Qué es un Captive Portal de marca blanca?

Un Captive Portal de marca blanca es un software de inicio de sesión de WiFi para invitados que un MSP o distribuidor vende bajo su propia marca. El proveedor opera la plataforma, mientras que su logotipo, dominio, correo remitente e informes están orientados al cliente. Las plataformas más sólidas añaden una verdadera arquitectura multinquilino. De este modo, cada cliente se ubica en su propio inquilino aislado, con roles de administración delegados para los gestores del establecimiento y los equipos de marketing.

¿Puede un MSP aplicar su propia marca a un Captive Portal?

Sí, siempre que la plataforma ofrezca una personalización de marca completa. La página de inicio de sesión debe cargarse desde su dominio con un certificado TLS válido. Los correos electrónicos deben enviarse desde su dominio con SPF, DKIM y DMARC alineados. La consola de administración y los informes no deben incluir ninguna referencia al proveedor. Si la personalización se limita a la página de inicio de sesión, su cliente seguirá viendo el nombre del proveedor cada mes.

¿Cómo se calcula el precio del software de Captive Portal de marca blanca?

La mayoría de los proveedores cobran por sitio, por punto de acceso o por invitado, vendiéndolo al por mayor para que usted fije el precio de venta final. El modelo por sitio se adapta a cadenas de establecimientos similares. El modelo por punto de acceso se adapta a recintos con picos de asistencia elevados. El modelo por invitado es ideal para pruebas piloto y sitios con poco tráfico, pero varía según la demanda. Para proteger su margen, facture a su cliente en la misma unidad en la que el proveedor le factura a usted.

¿Qué puntos de acceso debe admitir un portal de marca blanca?

Debe ser compatible con todos los proveedores presentes en la infraestructura de sus clientes, nombrados individualmente: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Para cada uno de ellos, confirme la redirección a un Captive Portal externo, la autenticación y contabilidad RADIUS y la compatibilidad con walled garden, todo ello respaldado por una guía de integración publicada. El WiFi de invitados de Purple funciona en los ocho como una superposición en la nube independiente del hardware.

¿Quién es el propietario de los datos de los invitados en una plataforma de distribuidores?

Su cliente, el operador del establecimiento, debe ser el propietario de los datos de los invitados como responsable del tratamiento según el GDPR. Usted actúa como encargado del tratamiento y el proveedor de la plataforma como subencargado, ambos vinculados por un contrato según el Artículo 28. Rechace las condiciones del proveedor que le permitan utilizar los datos de los invitados para sus propios fines. Los registros de consentimiento deben poder exportarse bajo demanda y devolverse a su cliente cuando finalice el contrato.

¿Necesitan los clientes hardware nuevo para migrar a una nueva plataforma de Captive Portal?

No, si la plataforma es independiente del hardware. Una superposición en la nube se conecta a los puntos de acceso que su cliente ya utiliza, mediante la redirección a un Captive Portal externo y RADIUS. Se reconfigura la red para que apunte a la nueva plataforma en lugar de sustituir el equipo. Realice pruebas en las versiones de firmware que realmente utilicen sus clientes antes de programar la transición definitiva.

¿Se pueden migrar clientes existentes desde otra plataforma de Captive Portal?

Sí, siempre que su proveedor actual exporte los registros de consentimiento y los datos de los invitados de cada cliente en un formato utilizable. Solicite una exportación en CSV o JSON con marca de tiempo, texto de consentimiento y canal, citando el Artículo 28(3)(g) del GDPR. Vuelva a crear las plantillas del portal en el nuevo espacio y ejecute ambas plataformas en un establecimiento piloto. A continuación, cambie el resto de los sitios por lotes para limitar los riesgos.