El consejo habitual sobre el software de portal cautivo comienza con la pantalla equivocada: elija una página de inicio de sesión personalizada con su marca, añada acceso mediante redes sociales y conecte su CRM. Comience, en su lugar, por lo que un dispositivo de visitante puede alcanzar antes de que alguien inicie sesión. Una página de bienvenida impecable no solucionará una red del personal expuesta, un enlace inalámbrico sin cifrar ni un permiso de marketing vinculado obligatoriamente al acceso a internet.
Para los operadores de recintos en el Reino Unido, la elección correcta combina una incorporación viable con una política de red exigible y una recopilación de datos proporcionada. Evalúe el software en función de su integración con el controlador, su comportamiento en caso de falla y la evidencia que pueda recopilar durante una prueba piloto. Diseñe la página solo después de tomar esas decisiones.
Opciones de portal cautivo de un vistazo
Existen cinco modelos de implementación a considerar. Cuatro de ellos alojan un portal convencional en algún lugar; el quinto, el acceso basado en identidad, puede eliminar por completo los inicios de sesión repetidos en el navegador. Cada uno modifica quién opera la autenticación, dónde se procesa la información de los invitados y cuánta carga de mantenimiento hereda su equipo.
Comparación de modelos de implementación de portal cautivo
| Modelo | Dónde se ejecuta el portal | Quién lo mantiene | Ajuste ideal |
|---|---|---|---|
| Portal alojado en la nube | Nube del proveedor, conectada a través del controlador del establecimiento | Proveedor | Cadenas con múltiples ubicaciones que requieren una implementación rápida y analítica centralizada |
| Portal nativo del controlador | Controlador inalámbrico o punto de acceso | TI del establecimiento | Propiedades de un solo sitio con un controlador existente |
| Gateway o dispositivo local (on-premise) | Servidor local o firewall en el sitio | TI del establecimiento | Sitios que deben conservar los datos de los invitados de forma local |
| Portal de código abierto alojado localmente | Servidor administrado por el operador | Operador o integrador | Equipos técnicos con capacidad para aplicar parches y resolver problemas |
| Acceso basado en identidad (Passpoint, OpenRoaming) | Identidad en la nube o infraestructura backend RADIUS | Proveedor y proveedor de identidad | Visitantes recurrentes y dispositivos administrados del personal |
La nube alojada intercambia el control de la infraestructura por la velocidad de despliegue. Las plantillas centralizadas y los informes son adecuados para cadenas, pero usted debe examinar la ubicación de los datos, las dependencias del controlador y qué sucede cuando el servicio en la nube deja de estar disponible.
Un portal nativo del controlador evita incorporar otra plataforma de gestión. Es un punto de partida conveniente cuando el controlador actual ya ofrece los métodos de acceso y controles de sesión que necesita. Sus límites suelen ser evidentes cuando distintos sitios requieren recorridos consistentes o reportes consolidados.
La propiedad importa más que las etiquetas de alojamiento
Un gateway local puede mantener los registros de los invitados de forma local, siempre que sus registros de auditoría, copias de seguridad e integraciones estén configurados en consecuencia. De este modo, su equipo asume los parches, los certificados, la capacidad y la recuperación. El software de código abierto alojado por usted mismo ofrece un control similar, pero una licencia gratuita no incluye al personal para la respuesta a incidentes.
Un portal convencional suele presentar los términos, recopilar la identificación que requiera la política de acceso, autorizar la sesión y redirigir al visitante. La aceptación de los términos no demuestra la identidad, y la redirección tampoco confirma que el controlador haya aplicado la política correcta.
El acceso basado en identidad cambia ese recorrido. La pregunta operativa importante pasa a ser quién emite, mantiene y revoca las credenciales de acceso, en lugar de quién edita la página de inicio.
Regla de compra: Elija el modelo cuya falla pueda diagnosticar y recuperar su equipo, no el que tenga la lista de funciones más larga.
Antes de preseleccionar el software de portal cautivo, anote lo siguiente:
- Sus instalaciones: identifique las políticas compartidas y las excepciones locales legítimas.
- Sus controladores: registre los modelos, el firmware y los arreglos de gestión.
- Su responsable de soporte: defina quién responde cuando los invitados se pueden asociar pero no logran conectarse a internet.
Dónde lo deja expuesto un portal cautivo
Un portal cautivo es una puerta de enlace a nivel de aplicación, no un mecanismo de cifrado. Decide si una sesión puede continuar. Por sí mismo, no protege el enlace de radio ni evita que los clientes cercanos se comuniquen.
La guía sobre WiFi inteligente de Purple destaca la advertencia del Centro Nacional de Ciberseguridad del Reino Unido de que el WiFi público con portal cautivo puede exponer estaciones de trabajo de garantía privilegiada a través de una ruta no segura hacia un servicio de autenticación local. Dichos dispositivos necesitan controles compensatorios, no la suposición de que completar un inicio de sesión hace que la conexión sea segura.
Restrinja el acceso antes de solicitar la identidad
Diseñe la ruta de acceso de manera deliberada:
Cree un VLAN restringido previo a la autenticación. Ubique los dispositivos no autenticados en un entorno sin ruta hacia las redes operativas. No los coloque en un segmento general de visitantes confiando únicamente en la redirección del navegador.
Permita únicamente las dependencias de incorporación. Autorice DHCP, DNS controlado y el punto de conexión del portal, además de las dependencias estrictamente delimitadas que requiera el flujo de autenticación elegido. Las excepciones amplias de jardín amurallado pueden proporcionar por accidente un acceso a internet útil antes de la autorización.
Autentique a través del servicio previsto. Utilice el portal o proveedor de identidad adecuado para el visitante. Verifique que un inicio de sesión fallido o abandonado mantenga el dispositivo en estado restringido.
Aplique la directiva autorizada. Traslade la sesión a su VLAN asignado o rol equivalente, con reglas de firewall explícitas y aislamiento de cliente donde se requiera. La autenticación correcta no debe conceder acceso a los sistemas internos de forma predeterminada.
Registre la transición. Registre el resultado de la autenticación, el identificador de sesión y la asignación de directivas. Estos registros deben permitir que un administrador distinga entre un fallo de inicio de sesión y un fallo en la aplicación de directivas del controlador.
El error común es probar únicamente si la página de bienvenida se carga. Una página que funciona perfectamente puede estar delate de una red de preautenticación que aún tiene alcance a impresoras, subredes del personal o la administración del controlador.
Pruebe la ruta que utilizaría un atacante
Utilice un cliente nuevo sin autorización recordada. Intente realizar conexiones a servicios internos representativos antes de iniciar sesión, después de un intento fallido de inicio de sesión y tras el vencimiento de la sesión; pruebe los dispositivos de invitados cercanos por separado.
Para un MSP que revise los riesgos de intercepción junto con estas verificaciones, el monitoreo de la web oscura de GoSafe MITM prevention strategies for MSPs proporciona un recurso de revisión complementario. Mantenga esa revisión independiente de la evidencia de que su propio firewall y controlador aplican el aislamiento.
El criterio de aceptación es claro: un invitado no autenticado no debe tener acceso a la subred del personal, a las impresoras ni a la interfaz de administración. Si puede acceder, detenga la implementación y corrija la política de acceso.
Comparativa de cifrado y controles de identidad
El cifrado y la identidad responden a diferentes preguntas. El cifrado protege la comunicación a través del enlace inalámbrico; la identidad establece qué persona, cuenta o dispositivo debe recibir acceso. Un proceso de inicio de sesión conveniente puede no funcionar bien en ninguno de los dos casos.
La descripción general de seguridad de WiFi público de la revista SQ Magazine se basa en la distinción de Jisc entre OWE, que cifra las tramas inalámbricas sin autenticación de usuario, y WPA3-Enterprise para autenticación empresarial. Utilice esa distinción al comparar opciones, en lugar de tratar cada método de inicio de sesión como un control de seguridad equivalente.
Controles de cifrado e identidad por opción de acceso
| Opción de acceso | Cifra el enlace inalámbrico | Identifica al usuario | Credenciales de navegador expuestas |
|---|---|---|---|
| Portal abierto con un solo clic | No | No | No |
| Portal en WiFi abierta con OWE | Sí, cifrado por usuario | No | No para un solo clic |
| WPA3-Enterprise con 802.1X | Sí | Sí, por usuario o dispositivo | No |
| Passpoint o OpenRoaming | Sí | Sí, a través del proveedor de identidad | No durante la autenticación automática de red |
| Portal con correo electrónico o inicio de sesión social | Solo si la WLAN subyacente proporciona cifrado | En parte, según la verificación | Sí, si se escribe una contraseña del proveedor de identidad |
Un portal abierto de un solo clic ofrece un recorrido corto, pero aceptar los términos no establece quién posee el dispositivo. OWE añade confidencialidad sin resolver esa brecha de identidad.
WPA3-Enterprise con 802.1X admite el acceso vinculado a una persona o dispositivo. Su valor depende de una autenticación configurada correctamente, una validación de servidor de confianza y un ciclo de vida para credenciales o certificados.
Passpoint y OpenRoaming admiten la conexión basada en identidad a través de un proveedor. El registro inicial aún requiere supervisión, incluso cuando las conexiones posteriores no soliciten credenciales en el navegador.
La captura de correo electrónico no es necesariamente una identidad verificada. Para el inicio de sesión con redes sociales, distinga una redirección legítima al proveedor de un portal que solicita a los visitantes que escriban la contraseña de su proveedor en el propio formulario del establecimiento. Rechace la recopilación innecesaria de contraseñas.
Mida tanto el cumplimiento de las normas como la conveniencia
Utilice la misma combinación de clientes y condiciones de red al comparar proveedores. Incluya dispositivos más antiguos y pruebe accesos concurrentes, no solo la laptop de un administrador en una red vacía.
- Tiempo medio de acceso: Mida desde la asociación hasta el acceso autorizado al plano de datos, no solo el renderizado de la página.
- Tasa de autenticación fallida: Separe el abandono del usuario, el rechazo de identidad y los errores del controlador.
- Éxito de reautenticación en roaming: Desplácese entre puntos de acceso mientras mantiene una sesión activa.
- Aislamiento previo a la autenticación: Verifique las rutas bloqueadas, incluidas las familias de direcciones alternativas.
- Latencia en la aplicación de políticas: Compruebe con qué rapidez el controlador aplica un nuevo rol bajo una demanda concurrente.
Utilice la guía de seguridad para empresas WiFi para enmarcar la revisión de arquitectura más amplia y, a continuación, solicite evidencia de prueba piloto para sus propias instalaciones.
Una conexión de navegador segura a la página de inicio de sesión no reemplaza el cifrado y los controles de identidad en la conexión inalámbrica.
Passpoint y OpenRoaming para visitantes recurrentes
Un invitado recurrente no debería tener que realizar el mismo recorrido en el navegador en cada visita. Passpoint permite que un dispositivo compatible y aprovisionado descubra una red adecuada y se autentique en ella de forma automática. OpenRoaming amplía este enfoque mediante la identidad federada en todas las redes participantes.
El beneficio no es solo menos clics. Puede ofrecer una política de acceso repetible sin capacitar a los visitantes para que ingresen credenciales en cualquier página que aparezca después de conectarse al WiFi. La descripción general del WiFi público de Boldyn refuerza la distinción subyacente: una mayor capacidad de conectividad no resuelve una incorporación deficiente, la segmentación o las excepciones de dispositivos heredados.
Nuestros métodos de conexión de WiFi para invitados son el portal cautivo, Passpoint y la aplicación de Purple. Engage incluye todas las funciones de Capture, además de trayectos de acceso personalizados, comunicaciones personalizadas, analíticas avanzadas de WiFi, integraciones de suite completa, Passpoint y autenticación de perfiles, así como opciones de servicio totalmente administradas. Evalúe esas capacidades frente a un trayecto de visitante recurrente definido, no como etiquetas de plan intercambiables.
Verifique la integración del controlador
Nuestra plataforma independiente del hardware se ejecuta en los puntos de acceso que las propiedades ya poseen. La compatibilidad sigue dependiendo del soporte del controlador para RADIUS, cambio de autorización y jardín amurallado.
- RADIUS: Verifique los intercambios de autenticación y contabilidad, incluidos los atributos de política que respeta su controlador.
- Cambio de autorización: Pruebe si una sesión activa se puede desconectar o asignar a una política revisada. Un cambio de directorio solo es útil si la aplicación de la política lo sigue.
- Jardín vallado: Permita las dependencias de inscripción y autenticación sin permitir la navegación no relacionada antes de la autorización.
Para las implementaciones del personal, incluya Entra ID, Google Workspace y Okta en la lista de verificación de integración cuando corresponda. Verifique el aprovisionamiento y la revocación para la fuente de identidad elegida, incluidos los usuarios deshabilitados, la pertenencia a grupos eliminada y los dispositivos ya conectados.
Nuestra Passpoint vista general es un punto de partida útil para definir el recorrido de conexión. La prueba sigue siendo un registro exitoso, una visita de retorno y una prueba de revocación en su controlador.
Mantenga una alternativa deliberada
Algunos visitantes no tendrán un perfil o dispositivo compatible. Proporcione una alternativa de portal claramente identificada con su propia política de invitados, en lugar de debilitar la red basada en identidad para adaptarse a cada excepción.
Por ejemplo, un hotel puede ofrecer reconexión automática a los huéspedes recurrentes registrados mientras dirige a los visitantes por primera vez a un breve proceso de incorporación. El equipo de conferencias y los dispositivos más antiguos necesitan una ruta de soporte explícita, no una contraseña compartida no documentada.
Antes de comprometerse, confirme el soporte del controlador, ejercite el walled garden y pruebe una cuenta revocada. Incluya reinicios del controlador y registros interrumpidos para que el personal de recepción sepa qué hacer cuando la conexión automática no se complete.
Privacidad, consentimiento y analítica según las normas del Reino Unido
Un ayuntamiento que mida el uso del WiFi y la afluencia en el centro de la ciudad podría estar monitoreando sistemáticamente un área de acceso público, lo que potencialmente requiere una Evaluación de impacto relativa a la protección de datos, como se explica en la guía de contratación del WiFi público del ayuntamiento. Dicha guía también identifica la necesidad de separar el consentimiento de mercadotecnia de PECR de la aceptación del servicio.
No haga que el botón de acceso a internet funcione también como permiso de mercadotecnia. Donde se requiera el consentimiento, presente una opción independiente y opcional que no esté preseleccionada, y permita que el visitante entienda qué comunicaciones acepta recibir.
Asigne un propósito definido a cada campo
Aplique estas reglas antes de conectar el portal a un CRM:
Registros de conectividad: Distinga la aceptación de términos y la duración de la sesión de la información de perfil opcional. Documente la base legal para cada finalidad de procesamiento en lugar de etiquetar todo como consentimiento.
Información de marketing opcional: Mantenga la suscripción a marketing por correo electrónico independiente de la autenticación. Una dirección de correo electrónico necesaria para un flujo de trabajo de acceso no implica automáticamente el permiso para enviar promociones, y un destino CRM no establece por sí mismo una base legal.
Medición anónima o agregada: Prefiera estas opciones cuando respondan a la necesidad operativa. No asuma que eliminar un nombre hace que el historial de visitas recurrentes sea anónimo.
Retención según la finalidad: Establezca por escrito cuánto tiempo se necesita cada campo y configure la eliminación en consecuencia. Incluya exportaciones, copias de seguridad y sistemas de marketing conectados en la revisión.
Derechos y responsabilidades del proveedor: Asigne la responsabilidad de las solicitudes de acceso, rectificación y eliminación. Documente qué proveedor procesa qué registros y cómo llegan las solicitudes a los sistemas secundarios.
Nuestro portal envía KPI semanales que cubren el uso de WiFi, incluidos los datos demográficos de los usuarios. Durante la evaluación, establezca si los resultados demográficos están agregados, qué campos de origen los respaldan y qué controles de recopilación o presentación de informes están disponibles.
Utilice nuestra guía de privacidad de datos de WiFi para invitados junto con la evaluación de su equipo de privacidad. La configuración de un producto no reemplaza una decisión documentada sobre necesidad y proporcionalidad.
Prueba de visitante: Explique, en una oración, por qué recopila cada campo y qué sucede si el visitante lo rechaza.
Si esa explicación requiere una defensa prolongada, elimine el campo o rediseñe el recorrido. El acceso público no debe convertirse en una excusa para recopilar historiales de comportamiento identificables que los visitantes no esperarían razonablemente.
Requerimientos del sector para hoteles, retail y oficinas
Encuentre su tipo de recinto, pruebe primero la columna de elementos imprescindibles y luego evalúe los riesgos a vigilar durante la prueba piloto. Las funciones secundarias deben ganarse su lugar resolviendo un problema operativo.
Requisitos del portal por tipo de establecimiento
| Tipo de establecimiento | Imprescindible | Deseable | Aspectos a vigilar |
|---|---|---|---|
| Hoteles | Portal personalizado con marca, itinerancia para huéspedes frecuentes, redes independientes para huéspedes y personal | Páginas de inicio de sesión multilingües | Dispositivos heredados que no pueden ejecutar seguridad moderna |
| Bares y restaurantes | Acceso rápido con un clic o inicio de sesión con redes sociales, sesiones con límite de tiempo | Captura de datos de CRM con consentimiento explícito | Límites de sesión que causen frustración a los clientes habituales |
| Tiendas y centros comerciales | Analítica de afluencia con el consentimiento adecuado | Estrategias de marketing basadas en la frecuencia de las visitas | Analítica que exceda el consentimiento otorgado |
| Centros de transporte | Incorporación rápida para sesiones breves, páginas multilingües | Passpoint para usuarios frecuentes | Transmisión de puntos de acceso en horas pico |
| Oficinas corporativas | Acceso mediante 802.1X o certificado para el personal, portal independiente para visitantes | Sincronización de directorio y revocación inmediata | Contraseñas del personal introducidas en el portal de visitantes |
| Sector salud | Aislamiento previo a la autenticación y redes clínicas segmentadas | Analítica de visitantes separada de los datos clínicos | Cualquier ruta desde un portal abierto hacia los sistemas clínicos |
Los hoteles necesitan un proceso de incorporación reconocible y un desplazamiento confiable entre las habitaciones y las áreas comunes. Los bares y restaurantes deben dar prioridad a recorridos de entrada breves y evitar tiempos de espera agotados que interrumpan repetidamente a los clientes habituales.
Los equipos del sector minorista deben acordar qué significan sus mediciones de afluencia antes de poner en marcha los recorridos de mercadotecnia. Los operadores de transporte deben probar clientes en movimiento y visitas breves, no solo conexiones estacionarias junto a un punto de acceso.
Adapte el recorrido al usuario
Nuestro plan Connect incluye un portal cautivo seguro y páginas de inicio de sesión personalizadas en 25 idiomas compatibles. La presentación en múltiples idiomas es particularmente útil para hoteles y lugares de transporte, siempre que los términos y la información de privacidad sigan siendo comprensibles.
Nuestro portal puede utilizar el logotipo, los colores y las opciones de inicio de sesión de la propiedad. Eso hace que la página sea reconocible, pero el personal nunca debe describir el diseño de marca como prueba de que una red es genuina.
Las oficinas necesitan un proceso de autenticación del personal que no dirija a los empleados a un formulario para visitantes. Los operadores de atención médica deben tratar cualquier servicio clínico accesible desde la ruta de invitados como una prueba piloto fallida, independientemente de qué tan bien funcione el proceso del visitante.
Utilice escenarios para resolver prioridades contrapuestas
Considere un hotel hipotético con un centro de conferencias. La columna de requisitos indispensables debe guiar la decisión: pruebe el roaming de las habitaciones a las salas de conferencias, la separación del personal y la llegada simultánea de invitados antes de elegir las funciones adicionales de marketing. Someta los equipos de presentación más antiguos al proceso de contingencia.
Para un centro comercial hipotético con múltiples unidades independientes, la columna de aspectos a considerar merece especial atención. Defina si los arrendatarios reciben informes agregados o contactos identificables, establezca el propósito permitido para cada transferencia y verifique que rechazar la mercadotecnia no impida el acceso básico.
Elija el modelo de portal adecuado para su establecimiento
Elija el software de portal cautivo en función del tráfico de mayor riesgo en el sitio, no por la apariencia de su página de inicio. Utilice los requisitos de la propiedad para establecer sus criterios de rechazo antes de comparar planes.
Un recinto de un solo sitio con un controlador adecuado y necesidades sencillas de invitados puede comenzar de forma nativa en el controlador. Una cadena que necesite trayectos consistentes y una captura en el CRM con consentimiento tiene un argumento más sólido para optar por la nube alojada. Los dispositivos administrados del personal requieren un acceso basado en la identidad junto con un servicio de visitantes independiente; los entornos clínicos y de pago necesitan resolver sus límites de red antes de la personalización del portal.
Compare el compromiso comercial
Nuestros planes de WiFi para invitados WiFi son Connect, Capture y Engage. Capture añade a las funciones de Connect la captura de datos propios, integración con CRM, analítica detallada, información sobre el comportamiento, verificación de correo electrónico y soporte.
Planes y precios de WiFi para invitados
| Plan | Costo | Prueba gratuita | Mejor opción |
|---|---|---|---|
| Connect | Gratis | Plan gratuito permanente, no es una prueba con límite de tiempo | WiFi de nivel de entrada para invitados |
| Capture | Personalizado según los requerimientos | 30 días | Captura de invitados con datos consentidos |
| Engage | Personalizado según los requerimientos | 30 días | Rutas de marketing y Passpoint |
| WiFi para empleados y xPSK | Precio personalizado según el portafolio, los puntos de acceso y las necesidades del proveedor de identidad | Por confirmar en la propuesta | Dispositivos administrados del personal y acceso basado en identidad |
Después de la prueba de Capture o Engage, puede continuar con el paquete elegido o cambiarse a Connect. Incluya el esfuerzo de integración, la responsabilidad operativa y los procedimientos de recuperación en la decisión, no solo la suscripción.
Establezca fechas y evidencias para la prueba piloto
Antes de comenzar, elabore una lista de sus sitios, modelos de controlador, firmware, proveedor de identidades y los campos de datos propuestos. Asigne un responsable designado y una fecha real en el calendario para cada prueba de aceptación.
- Antes de la configuración: Registre los límites de red existentes y acuerde los destinos prohibidos.
- En la activación del piloto: Pruebe el aislamiento previo a la autenticación y cada método de inicio de sesión previsto.
- Durante una demanda representativa: Capture el tiempo de acceso, los fallos, los resultados de roaming y el comportamiento de aplicación de políticas.
- Antes de la aprobación final: Ponga a prueba las restricciones del jardín vallado, revoque una cuenta activa y verifique los registros resultantes.
- Antes de que termine la prueba: Revise cada campo recopilado mediante la prueba de visitantes y documente el plan seleccionado.
Conserve juntas las capturas de pantalla de la configuración, los registros de autenticación y los resultados de las pruebas para que otro administrador pueda reproducir el resultado. Registre las excepciones no resueltas de forma explícita en lugar de ocultarlas en un correo electrónico general de aprobación.
Confirme el aislamiento antes de la puesta en marcha. Si el inicio de sesión es correcto pero se aplica la política de red equivocada, el portal no está listo para los visitantes.
Purple ofrece portales cautivos para invitados, acceso basado en identidad y WiFi para el personal en una sola plataforma en la nube. Visite Purple para evaluar el modelo de acceso adecuado para sus controladores y planificar una prueba en torno al aislamiento, la autenticación, la revocación y el consentimiento, y no solo en el diseño de la página de inicio.
