Cómo funciona el WiFi para empleados, desde la incorporación hasta la baja
El WiFi para empleados seguro no es una única función: es un ciclo de vida que acompaña a cada empleado desde su primer día hasta el último. Esto es exactamente lo que ocurre en cada etapa cuando Purple gestiona su WiFi para empleados como RADIUS en la nube frente a su proveedor de identidad: sin contraseñas compartidas y sin hardware local.
En resumen / Puntos clave
- El WiFi para empleados seguro es un ciclo de vida de la identidad, no una función aislada: el acceso se concede, se delimita y se revoca automáticamente a medida que los empleados se incorporan, cambian de puesto o se van.
- La incorporación se realiza sin contraseña (un certificado EAP-TLS o una credencial única por dispositivo, nunca una contraseña compartida), emitida a través de su MDM o de la Purple App en unos 60 segundos.
- El aprovisionamiento SCIM con Microsoft Entra ID, Okta o Google Workspace vincula el acceso WiFi a la pertenencia al directorio, de modo que un empleado que deja la empresa pierde el acceso WiFi en el momento en que pierde el correo electrónico.
- Todo el ciclo de vida se ejecuta mediante RADIUS en la nube a través de sus puntos de acceso existentes, sin necesidad de un servidor RADIUS local ni de enviar hardware a cada ubicación.
El ciclo de vida del WiFi para empleados, paso a paso
Seis etapas, una identidad. Cada etapa es automática: el empleado nunca ve una contraseña y el equipo de TI nunca las rota.
Un empleado se incorpora y su cuenta se aprovisiona automáticamente
Cuando RR. HH. añade un nuevo empleado a Microsoft Entra ID, Okta o Google Workspace, el aprovisionamiento SCIM envía esa identidad a Purple automáticamente, sin necesidad de un ticket de WiFi independiente. Su pertenencia a un grupo (departamento, rol, sede) se sincroniza al mismo tiempo y determina en qué segmento de red se ubicará.
Su dispositivo recibe un certificado
En un portátil gestionado, se emite un certificado EAP-TLS de forma silenciosa a través de su MDM (Intune, Jamf, Kandji o Hexnode). En un teléfono o tableta personal, el empleado abre la Purple App, inicia sesión una vez con su identidad corporativa y se instala una credencial de WiFi única en unos 60 segundos. No se muestra ni se escribe ninguna contraseña compartida.
El dispositivo se conecta con 802.1X
El dispositivo se asocia al SSID WPA2 o WPA3-Enterprise. El punto de acceso reenvía la solicitud 802.1X al RADIUS en la nube de Purple, que valida el certificado con su proveedor de identidad y devuelve la VLAN y directiva correctas. El empleado está en línea, en el segmento correcto y con una clave de sesión única, en decenas de milisegundos.
El acceso acompaña a la persona en todas las sedes
La misma identidad funciona en cada edificio. Entre en otra oficina, sucursal o recinto multisede que ejecute Purple y el dispositivo se conectará automáticamente: sin contraseñas nuevas ni reconfiguraciones. Las directivas de acceso condicional de Microsoft Entra ID se respetan en cada conexión, por lo que un dispositivo que no supere la comprobación de cumplimiento no será admitido.
Las directivas y la actividad se mantienen visibles
Cada autenticación se registra con el usuario, dispositivo, punto de acceso, SSID y resultado, y se transmite a su SIEM (Microsoft Sentinel, Splunk, Elastic o Datadog). TI puede ver quién está conectado en todas las sedes y deshabilitar un usuario o dispositivo individual al instante, sin interrumpir a nadie más.
El empleado se marcha y el acceso se revoca automáticamente
Cuando se da de baja al empleado en su proveedor de identidad, el desaprovisionamiento SCIM elimina su acceso a la WiFi en el mismo momento en que se revoca su correo electrónico. No hay rotación de contraseñas a nivel de toda la empresa, ni credenciales huérfanas, ni pasos manuales: el certificado o la clave simplemente deja de autenticarse en el siguiente intento.
Por qué el ciclo de vida es la prueba
Esta es la diferencia entre el WiFi para empleados y el WiFi para invitados con una página de seguridad añadida. El WiFi para invitados se optimiza para un registro sin fricciones; el WiFi para empleados se optimiza para la identidad. Como cada conexión está vinculada a una persona o dispositivo verificado durante todo el ciclo de vida del empleado (concedida el primer día, delimitada según su rol y revocada en su último día), obtiene responsabilidad por usuario, revocación instantánea y una pista de auditoría limpia sin una sola contraseña compartida en la red. Eso son redes basadas en la identidad y es la base para el acceso a la red de confianza cero.
Preguntas frecuentes
¿Cómo se revoca el acceso a la WiFi para empleados cuando un empleado deja la empresa?
De forma automática, a través de su proveedor de identidad. Dado que cada empleado se autentica con su propio certificado o credencial, gestionar su baja en Microsoft Entra ID, Okta o Google Workspace elimina su acceso a la WiFi mediante SCIM en el mismo momento en que se revoca su correo electrónico. No hay ninguna contraseña global de la empresa que rotar ni credenciales huérfanas que queden olvidadas: su certificado o clave deja de autenticarse en el siguiente intento.
¿Qué es el aprovisionamiento SCIM para WiFi?
SCIM (System for Cross-domain Identity Management) es el estándar que utiliza su proveedor de identidad para enviar cambios de usuarios y grupos a otros sistemas. Con Purple, SCIM mantiene el acceso a la WiFi sincronizado automáticamente con su directorio: cuando alguien se incorpora, se aprovisiona su acceso y su pertenencia a un grupo establece su VLAN; cuando se va, el acceso se desaprovisiona, sin necesidad de administración manual de la WiFi.
¿Cuánto tarda la incorporación a la WiFi para empleados para un nuevo trabajador?
Alrededor de 60 segundos para un dispositivo personal: el empleado abre la Purple App, inicia sesión una vez con su identidad corporativa y se instala una credencial de WiFi única. Los portátiles gestionados no requieren intervención: el certificado EAP-TLS se envía a través de su MDM (Intune, Jamf, Kandji o Hexnode) antes de que el usuario llegue a conectarse.
¿El ciclo de vida de la WiFi para empleados funciona en múltiples sedes?
Sí. Dado que la autenticación se ejecuta en el RADIUS en la nube de Purple y no en el hardware de cada sede, la misma identidad se conecta automáticamente en cada edificio, sucursal o recinto de la red: sin nuevas contraseñas ni reconfiguraciones. Se adapta perfectamente a infraestructuras multisede, como ayuntamientos, cadenas hosteleras y minoristas, o agrupaciones educativas.
¿Necesito un servidor RADIUS o hardware nuevo para algo de esto?
No. Purple opera el servidor RADIUS como un servicio en la nube y funciona en los puntos de acceso empresariales que ya posee (Cisco, Aruba, Ruckus, Juniper Mist, Cisco Meraki, Ubiquiti y más). Solo tiene que apuntar sus puntos de acceso a Purple: no hay ningún servidor RADIUS local que instalar, parchear o mantener en alta disponibilidad.
Última revisión:
Explore las guías WiFi completas
WiFi para empleados
El producto detrás del ciclo de vida: WiFi para empleados sin contraseña con 802.1X por usuario, integración con proveedores de identidad y revocación instantánea.
RADIUS-as-a-Service
El motor RADIUS en la nube que autentica cada solicitud de conexión: EAP-TLS, PEAP e iPSK, sin servidor local.
WiFi sin contraseña
EAP-TLS, iPSK, Passpoint y SAML/SSO. Reemplace las contraseñas compartidas por credenciales basadas en la identidad.
WPA2 y WPA3-Enterprise
Los estándares de cifrado detrás del ciclo de vida: 802.1X en sus puntos de acceso existentes con certificados gestionados.
El estándar de WiFi para empleados
Evalúe su despliegue comparándolo con los niveles Bronze, Silver y Gold de autenticación, gestión de dispositivos e integración de identidad: una evaluación de diez minutos para líderes de TI.
Vea el ciclo de vida funcionando en sus propios puntos de acceso
Le guiaremos paso a paso sobre cómo Purple se conecta a su proveedor de identidad, cómo es la experiencia del empleado y cómo se revoca el acceso en el momento en que alguien se marcha.