WiFi Landing Page vs. Splash Page: What's the Difference?

Resumen ejecutivo

Para los equipos de TI de empresas que gestionan entornos de alta densidad —desde propiedades de Hostelería hasta superficies de Retail —, los términos "splash page" y "landing page" se suelen confundir con frecuencia. Tratarlos como intercambiables en la arquitectura de red da lugar a flujos de usuario rotos, vulnerabilidades de seguridad y pérdida de oportunidades de captura de datos.

A nivel fundamental, la Splash Page es la guardiana previa a la autenticación. Existe dentro del entorno restringido de un Walled Garden, y es responsable de la verificación de la identidad, la autenticación MAC y el consentimiento legal bajo GDPR y PCI DSS. La WiFi Landing Page es el destino posterior a la autenticación. Funciona en la internet abierta, aprovechando los datos capturados durante el inicio de sesión para ofrecer experiencias personalizadas, impulsar las descargas de aplicaciones y generar un ROI medible a través de integraciones de Guest WiFi .

Esta guía detalla las especificaciones técnicas, las metodologías de despliegue y los modos de fallo comunes asociados al diseño de Captive Portal, lo que permite a los arquitectos de red crear redes de acceso para invitados robustas, conformes a la normativa y generadoras de ingresos en cualquier tipo de centro.

Análisis técnico detallado

La arquitectura del Captive Portal

Un Captive Portal intercepta el tráfico HTTP/HTTPS de los clientes no autenticados y los redirige a una interfaz web designada. Este mecanismo se basa en una combinación de secuestro de DNS, redirección HTTP 302 y autenticación RADIUS; las implementaciones modernas adoptan cada vez más el estándar RFC 8908 (Identificación de Captive Portal en DHCP y anuncios de router) para permitir el descubrimiento nativo del Captive Portal a nivel de sistema operativo sin una interceptación HTTP frágil.

Dentro de esta arquitectura, la Splash Page y la Landing Page desempeñan funciones fundamentalmente diferentes en distintos puntos del ciclo de vida de la autenticación.

1. La Splash Page (Estado de preautenticación)

Cuando un dispositivo se asocia a un SSID, el controlador inalámbrico lo sitúa en una VLAN no autenticada. Todo el tráfico saliente se intercepta y se redirige al nombre de host del Captive Portal. El Captive Network Assistant (CNA) del sistema operativo —un pseudonavegador especializado y aislado integrado en iOS, Android y Windows— detecta el Captive Portal y renderiza la Splash Page.

Restricciones técnicas del entorno CNA:

El CNA no es un navegador completo. Funciona con restricciones significativas que afectan directamente a lo que se puede desplegar en una Splash Page:

• Las cookies y el almacenamiento local suelen estar bloqueados o muy limitados
• Los frameworks complejos de JavaScript pueden fallar al ejecutarse
• Los recursos externos (fuentes, scripts, imágenes) solo pueden cargarse si sus dominios están incluidos en la lista blanca del Walled Garden
• El CNA se cerrará automáticamente si detecta que el dispositivo ha obtenido acceso a internet antes de que el usuario haya completado la autenticación
• La persistencia de la sesión tras el cierre del CNA no es fiable

Funciones principales de la Splash Page:

Dadas estas limitaciones, la Splash Page debe diseñarse exclusivamente para: autenticación (inicio de sesión social a través de OAuth, OTP por SMS, credenciales basadas en formularios o integración con programas de fidelización); aceptación de Términos y Condiciones; captación de consentimiento de GDPR; y registro de direcciones MAC para futuros inicios de sesión sin interrupciones.

Recomendación de carga útil: Mantenga la Splash Page por debajo de 1 MB. Utilice CSS en línea, evite bibliotecas de fuentes externas y minimice el uso de JavaScript. Cada dependencia externa requiere una entrada correspondiente en la lista blanca de Walled Garden, lo que representa tanto una carga de mantenimiento como una posible exposición de seguridad.

2. La Landing Page (estado posterior a la autenticación)

Tras una autenticación correcta, el servidor RADIUS devuelve un mensaje Access-Accept. El controlador inalámbrico actualiza la sesión del cliente, migrando el dispositivo a una VLAN autenticada con enrutamiento de internet completo. Se elimina el Walled Garden. El controlador, o la plataforma de Captive Portal basada en la nube, emite una redirección HTTP 302 a la WiFi Landing Page.

En este punto, el dispositivo funciona con un navegador completo y acceso a internet sin restricciones. La Landing Page puede aprovechar todo el conjunto de capacidades del desarrollo web moderno:

• Contenido dinámico y personalizado basado en el perfil de usuario capturado en la Splash Page
• Instrumentación analítica completa (Google Analytics, píxeles de seguimiento personalizados, webhooks de CRM)
• Contenido multimedia enriquecido que incluye vídeo, mapas interactivos y paneles de fidelización
• Indicaciones de descarga de aplicaciones con enrutamiento de enlaces profundos (deep-linking)
• Promociones dirigidas basadas en datos de WiFi Analytics , incluyendo frecuencia de visitas, tiempo de permanencia y zona del establecimiento

Funciones principales de la Landing Page: Interacción de marketing, visualización de programas de fidelización, promociones dirigidas, navegación por el establecimiento y llamadas a la acción orientadas a la conversión.

Flujo de autenticación: de extremo a extremo

La siguiente secuencia ilustra el flujo completo desde la asociación del SSID hasta la entrega de la Landing Page:

1. El dispositivo cliente se asocia con el SSID de invitados
2. El controlador asigna el dispositivo a una VLAN no autenticada
3. El cliente intenta realizar una solicitud HTTP; el controlador la intercepta y emite una redirección 302 a la Splash Page
4. El CNA carga la Splash Page (los recursos se sirven únicamente desde dominios autorizados en la lista blanca de Walled Garden)
5. El usuario completa la autenticación y acepta los Términos y Condiciones
6. La plataforma de Captive Portal envía una solicitud Access-Request al servidor RADIUS
7. RADIUS devuelve Access-Accept; el controlador recibe un mensaje de Cambio de Autorización (CoA)
8. El controlador migra al cliente a la VLAN autenticada
9. La plataforma de Captive Portal emite una redirección 302 a la WiFi Landing Page
10. El navegador del cliente carga la Landing Page completa a través de internet abierto

Esta clara separación de conceptos (autenticación en la Splash Page y fidelización en la Landing Page) es la base arquitectónica de cualquier despliegue de WiFi de invitados bien diseñado.

Guía de implementación

Desplegar una solución de WiFi de invitados escalable y de nivel empresarial requiere separar el plano de control de red de la capa de experiencia de usuario. Los siguientes pasos proporcionan un marco de despliegue independiente del proveedor aplicable a infraestructuras de Cisco Meraki, Aruba, Ruckus y Ubiquiti.

Paso 1: Configuración del Walled Garden

Configure su controlador de LAN inalámbrica (WLC) para permitir únicamente los dominios y rangos de IP estrictamente necesarios para el funcionamiento de la Splash Page. Esto suele incluir:

• El nombre de host de la plataforma de Captive Portal (por ejemplo, portal.purple.ai)
• Dominios de proveedores de identidad para el inicio de sesión social (por ejemplo, accounts.google.com, graph.facebook.com)
• Dominios de pasarelas de SMS si se utiliza la autenticación OTP
• Cualquier recurso de CDN utilizado por la propia Splash Page

Evite incluir demasiados elementos en la lista de permitidos. Cada entrada adicional aumenta la superficie de ataque de su red de autenticación previa y complica el mantenimiento continuo a medida que cambian los rangos de IP.

Paso 2: Gestión de certificados SSL

Configure el WLC con un certificado SSL válido y de confianza pública para el nombre de host de redirección del Captive Portal. Los certificados autofirmados provocarán advertencias de seguridad del navegador en el CNA, lo que hará que los usuarios abandonen el proceso de conexión. La caducidad de los certificados es una de las principales causas de interrupción del servicio de WiFi de invitados; implemente la renovación automatizada mediante Let's Encrypt o su plataforma de gestión de certificados.

Paso 3: Optimización del CNA

Diseñe la Splash Page específicamente para el entorno CNA. Utilice CSS en línea, evite frameworks de JavaScript externos y realice pruebas en múltiples versiones de iOS y Android. El comportamiento del CNA de iOS, en particular, cambia entre las versiones principales del sistema operativo: mantenga una matriz de pruebas de regresión que cubra al menos las dos versiones principales más recientes de ambas plataformas.

Paso 4: Lógica de redirección postautenticación

Configure la redirección postautenticación para que admita URL dinámicas de Landing Page. El servidor RADIUS puede devolver atributos específicos del proveedor (VSA) o la plataforma de Captive Portal puede utilizar el perfil de usuario autenticado para construir una URL personalizada. Esto permite la segmentación: un visitante que accede por primera vez recibe una oferta de bienvenida, mientras que un miembro de fidelización con nivel Gold recibe un panel personalizado.

Paso 5: Integración de analíticas

Integre la Landing Page con su suite de analíticas. Dado que el usuario ya se encuentra en el internet abierto con un navegador completo, las herramientas de analítica estándar funcionan con normalidad. Intégrelo con su CRM para crear un perfil de cliente unificado que combine los datos de la sesión WiFi con el historial de compras, el estado de fidelidad y las métricas de interacción de marketing.

Para obtener una comparación detallada entre las arquitecturas de Captive Portal basadas en la nube y las locales, consulte Captive Portal basado en la nube frente a local: ¿cuál es el adecuado para su empresa? .

Buenas prácticas

Disocie la autenticación del marketing. La decisión de arquitectura con mayor impacto es utilizar la Splash Page estrictamente para el acceso seguro y el consentimiento, y trasladar todos los activos de marketing a la Landing Page. Esto mejora las tasas de conexión, reduce los tickets de soporte y simplifica las auditorías de cumplimiento normativo.

Aproveche el MAC Authentication Bypass para usuarios recurrentes. Para los dispositivos que regresan, el MAC Authentication Bypass (MAB) elimina por completo la Splash Page, redirigiendo a los usuarios directamente a una Landing Page personalizada. Esto mejora drásticamente la experiencia del usuario para visitantes habituales en entornos de Hostelería y Retail . Asegúrese de que su política de privacidad cubra explícitamente el seguimiento persistente de dispositivos.

Adopte arquitecturas centradas en la nube. Del mismo modo que el sector de las redes se ha desplazado hacia el WAN definido por software para una gestión centralizada —como se detalla en Los beneficios principales de SD WAN para las empresas modernas —, las plataformas de Captive Portal deben estar alojadas en la nube. Esto permite una gestión centralizada en todo el patrimonio de centros distribuidos, actualizaciones rápidas de contenido sin cambios en el firmware del controlador y una integración fluida con CRM externos y plataformas de automatización de marketing.

Implemente RFC 8908 para la compatibilidad con sistemas operativos modernos. La detección nativa de Captive Portal mediante RFC 8908 reduce la dependencia de la interceptación HTTP, mejorando la fiabilidad en las versiones modernas de iOS y Android que imponen cada vez más la navegación exclusiva mediante HTTPS.

Mantenga un programa de auditoría de Walled Garden. Revise trimestralmente las entradas de Walled Garden. Los rangos de IP de los principales proveedores de identidad cambian sin previo aviso. Las entradas obsoletas que ya no se resuelven crean fallos de autenticación; las entradas que faltan bloquean los flujos de autenticación legítimos.

Resolución de problemas y mitigación de riesgos

El bucle de conexión. Si un usuario se autentica pero es redirigido repetidamente de nuevo a la Splash Page, verifique que el mensaje RADIUS Access-Accept esté llegando al controlador y que el cliente esté recibiendo correctamente una concesión DHCP en la VLAN autenticada. Compruebe también que el puerto CoA (Change of Authorization) (UDP 3799) no esté bloqueado por un cortafuegos intermedio.

Cierre prematuro del CNA. Si el CNA se cierra antes de que el usuario pueda autenticarse, es probable que el dispositivo haya detectado acceso a Internet antes de tiempo. Esto puede ocurrir si el Walled Garden es demasiado permisivo, permitiendo involuntariamente el enrutamiento completo a Internet antes de que se complete la autenticación. Revise las entradas de Walled Garden para evitar rangos CIDR demasiado amplios. Errores de interceptación de HTTPS. Los navegadores modernos aplican la seguridad estricta de transporte HTTP (HSTS). Si un usuario intenta navegar a un dominio precargado con HSTS antes de autenticarse, el navegador bloqueará la redirección del captive portal. Implemente RFC 8908 para habilitar la detección nativa de captive portal, o indique a los usuarios que naveguen a un dominio que no sea HSTS para activar el CNA.

Fallos de scripts de terceros en la Splash Page. Si los equipos de marketing han añadido píxeles de seguimiento o scripts de analítica a la Splash Page, estos fallarán silenciosamente en el entorno CNA si sus dominios no están en la lista blanca. La resolución correcta es eliminar estos scripts por completo de la Splash Page y volver a implementarlos en la Landing Page, donde funcionarán correctamente.

Brechas de cumplimiento de GDPR. Asegúrese de que el mecanismo de consentimiento en la Splash Page cumpla con los requisitos del Artículo 7 del GDPR: el consentimiento debe ser libre, específico, informado e inequívoco. Las casillas de consentimiento marcadas previamente no cumplen con la normativa. Mantenga un registro de auditoría de consentimiento durante un mínimo de tres años.

ROI e impacto empresarial

Una arquitectura de Splash/Landing Page correctamente implementada transforma el WiFi de invitados de un centro de costes a un activo medible generador de ingresos. El caso financiero opera en tres dimensiones.

Captura de datos e inteligencia de datos propios (first-party). Al simplificar la Splash Page, los establecimientos aumentan las tasas de conexión y el volumen de datos propios capturados. En entornos de Sanidad y Transporte , estos datos respaldan la analítica operativa (patrones de afluencia, tiempo de permanencia por zona y previsión de picos de demanda), lo que permite tomar decisiones de asignación de recursos con ahorros de costes medibles.

Atribución directa de ingresos. La Landing Page es la superficie de conversión principal. Una implementación en un estadio puede utilizar la Landing Page para promocionar el pedido de comida y bebida desde el asiento, correlacionando directamente el acceso a la red con los ingresos transaccionales. Un hotel puede ofrecer reservas de spa o mejoras de habitación. Un distribuidor minorista puede ofrecer promociones específicas por zona impulsadas por datos de ubicación en tiempo real de WiFi Analytics .

Fidelización y retención. Las experiencias personalizadas en la Landing Page, impulsadas por el perfil de usuario capturado en la Splash Page, aumentan la participación en el programa de fidelización. Los usuarios que regresan y reciben una experiencia de bienvenida personalizada muestran una duración de sesión y una frecuencia de visitas repetidas significativamente mayores en comparación con los usuarios a los que se les presenta una página de destino genérica.

Los KPI medibles para una implementación de WiFi de invitados deben incluir: tasa de conexión WiFi (objetivo >70% de los visitantes del establecimiento), tasa de captura de datos (objetivo >85% de los usuarios conectados), tasa de clics en la CTA principal de la Landing Page e ingresos directos atribuidos a promociones impulsadas por WiFi.

Escuche el podcast completo de la sesión técnica informativa a continuación: