Cómo Passpoint (Hotspot 2.0) transforma la experiencia de Wi-Fi para invitados

Cómo Passpoint transforma la experiencia de Wi-Fi para invitados Una sesión técnica de Purple — Aproximadamente 10 minutos --- INTRODUCCIÓN Y CONTEXTO — aproximadamente 1 minuto Bienvenido a la serie de sesiones técnicas de Purple. Voy a dedicar los próximos diez minutos a guiarle a través de algo que, francamente, debería haber reemplazado al Captive Portal hace años: Passpoint, también conocido como Hotspot 2.0. Si gestiona la infraestructura de Wi-Fi en un grupo hotelero, una cadena de tiendas, un estadio o cualquier recinto donde los invitados se conectan de forma recurrente, es casi seguro que se ha topado con la misma pared: invitados que se quejan de tener que iniciar sesión cada vez, su servicio de soporte de TI atendiendo llamadas sobre un Wi-Fi que "solía funcionar" y una creciente conciencia de que la aleatorización de direcciones MAC de iOS 14 y Android 10 ha roto silenciosamente su lógica de reautenticación. Passpoint es la respuesta a todos esos problemas. Pero no es un interruptor mágico: es un protocolo diseñado adecuadamente que requiere un despliegue deliberado. Así que entremos en materia. --- ANÁLISIS TÉCNICO PROFUNDO — aproximadamente 5 minutos Comencemos con el problema central que resuelve Passpoint, que los ingenieros llaman el problema de selección de red. En el Wi-Fi tradicional, su dispositivo busca un SSID conocido (un nombre de red) y, si reconoce uno, se conecta. Eso es simple, pero es frágil. Requiere una conexión previa, no le dice nada sobre la postura de seguridad de la red y no admite el roaming entre recintos. Cada vez que un invitado entra a su hotel, su dispositivo debe apuntarse manualmente a su red, luego ser interceptado por un Captive Portal y después autenticarse a través de un formulario web. Eso es fricción. Y en 2026, la fricción es una desventaja competitiva. Passpoint cambia el paradigma por completo. En lugar de buscar un nombre de red, el dispositivo busca una red que admita sus credenciales. Antes de intentar conectarse, el dispositivo le pregunta al punto de acceso: "¿Admite mi proveedor de identidad?". Si la respuesta es sí, la autenticación se realiza automáticamente. Sin página de inicio de sesión. Sin solicitud de contraseña. Sin selección manual. Es el modelo de roaming celular, aplicado al Wi-Fi. El mecanismo que hace esto posible se llama Generic Advertisement Service (GAS), combinado con el Access Network Query Protocol, o ANQP. Cuando un punto de acceso habilitado para Passpoint emite su beacon, incluye lo que se llama un Interworking Element; esencialmente una bandera que dice "hablo 802.11u", que es la enmienda IEEE que sustenta todo esto. Su dispositivo ve esa bandera, envía una solicitud GAS y, dentro de esa solicitud, una consulta ANQP pregunta: "¿Qué Roaming Consortium Organisational Identifiers admite?". El punto de acceso responde. Si hay una coincidencia con un perfil que ya está en el dispositivo, comienza el saludo de autenticación completo de WPA2 o WPA3 Enterprise.Esa autenticación utiliza IEEE 802.1X —el mismo estándar de control de acceso basado en puertos que se usa en las redes cableadas empresariales— combinado con un método EAP. Los más comunes son EAP-TLS, que utiliza certificados; EAP-TTLS, que tuneliza el nombre de usuario y la contraseña de forma segura; y EAP-SIM o EAP-AKA para la autenticación basada en SIM de operadores móviles. El resultado es una sesión mutuamente autenticada y totalmente cifrada. El dispositivo demuestra su identidad a la red y la red demuestra su identidad al dispositivo. Esa autenticación mutua es lo que evita los ataques de gemelo malvado (evil twin) y de intermediario (man-in-the-middle) que plagan los entornos de Wi-Fi abiertos. Ahora, un término que escuchará junto con Passpoint es OpenRoaming, el marco de federación de la Wireless Broadband Alliance. Aquí está la distinción importante: Passpoint es el vehículo. OpenRoaming es el sistema de autopistas. Passpoint define cómo un dispositivo descubre y se autentica en una red. OpenRoaming define el ecosistema de confianza que permite a un proveedor de identidad —por ejemplo, Google, Samsung o un operador móvil— y a un proveedor de acceso —su hotel, su estadio, su propiedad comercial— confiar en las credenciales del otro sin necesidad de un acuerdo bilateral entre cada par. OpenRoaming utiliza un modelo PKI de estrella (hub-and-spoke) con túneles RadSec —esto es, RADIUS sobre TLS— para actuar como proxy de las solicitudes de autenticación en toda la federación. El OI del Consorcio de Roaming clave para OpenRoaming sin liquidación es 5A-03-BA. También querrá transmitir el OI heredado de Cisco, 00-40-96, para mantener la compatibilidad con dispositivos más antiguos y perfiles de Samsung OneUI. Desde la perspectiva del cumplimiento de seguridad, Passpoint es una actualización significativa. WPA3-Enterprise utiliza el modo de seguridad de 192 bits y exige el secreto hacia adelante (forward secrecy): cada sesión utiliza claves de cifrado únicas, por lo que comprometer una sesión no expone el tráfico histórico. Para las organizaciones sujetas a PCI DSS —particularmente entornos minoristas que procesan pagos con tarjeta— o las obligaciones de GDPR en torno a los datos personales, la autenticación basada en certificados de Passpoint significa que no está recopilando credenciales a través de un formulario web, lo que reduce sustancialmente su superficie de manejo de datos. Y luego está la aleatorización de direcciones MAC. Los dispositivos modernos con iOS y Android aleatorizan su dirección MAC por defecto. Esto rompe los flujos tradicionales de reautenticación del Captive Portal: el dispositivo parece nuevo en cada visita. Passpoint es inmune a esto. La autenticación se basa en credenciales, no en la dirección MAC. Su invitado recurrente se conecta sin problemas en cada visita, independientemente de cuál sea la dirección MAC de su dispositivo ese día. Esto también tiene una implicación significativa para sus análisis de Wi-Fi: si está utilizando la plataforma de análisis de Purple, la autenticación basada en credenciales restaura la precisión de los datos de sus visitantes recurrentes. --- RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — aproximadamente 2 minutos Permítame mostrarle el panorama práctico de la implementación. Los requisitos de infraestructura son más complejos que los de un Captive Portal, pero están totalmente al alcance de cualquier organización que utilice hardware de clase empresarial. Se necesitan puntos de acceso certificados para Passpoint (la mayoría de los AP empresariales de Cisco, Aruba, Ruckus y Ubiquiti ya lo admiten). Se requiere un servidor RADIUS con soporte EAP, infraestructura AAA para la gestión de credenciales e, idealmente, un servidor OSU (Online Sign-Up) para el aprovisionamiento de perfiles en autoservicio. El trabajo de configuración se centra en cuatro elementos: los ajustes ANQP, que definen lo que el AP anuncia antes de la asociación; los OI de su Roaming Consortium; las definiciones de dominio NAI, que indican a los dispositivos qué métodos EAP admite; y la información del establecimiento, que los dispositivos utilizan para mostrar el contexto de la red. Mi recomendación más firme para la mayoría de los establecimientos es una estrategia de SSID dual. Utilice un SSID de Passpoint para los huéspedes recurrentes y usuarios registrados, y mantenga un SSID de Captive Portal para los visitantes de primera vez. Use el Captive Portal como un embudo de incorporación: presente la opción de instalar un perfil de Passpoint al final del flujo de autenticación de la primera visita. Este modelo de incorporación progresiva le ofrece lo mejor de ambos mundos: un primer acceso sencillo y visitas de retorno fluidas. Ahora, los errores comunes. El fallo de implementación más habitual que veo es tratar a Passpoint como un reemplazo directo de los Captive Portals sin construir el proceso de incorporación. Si los huéspedes no saben cómo instalar un perfil, o si el flujo de OSU es complicado, la adopción se estanca. Invierta en la experiencia de aprovisionamiento. El segundo error es la gestión de certificados. Si utiliza EAP-TLS con certificados de dispositivo, necesita un ciclo de vida de PKI robusto. Los certificados caducados interrumpirán silenciosamente la autenticación de los dispositivos afectados, y su equipo de soporte técnico será el último en enterarse. Automatice la renovación de certificados y supervise la expiración de forma proactiva. Tercero: no descuide el soporte para dispositivos heredados. Passpoint requiere iOS 7 o posterior, Android 6 o posterior, y Windows 10 o posterior. Esto cubre a la gran mayoría de los dispositivos modernos, pero los dispositivos IoT y algunos equipos corporativos más antiguos necesitarán rutas de acceso alternativas. --- PREGUNTAS Y RESPUESTAS RÁPIDAS — aproximadamente 1 minuto ¿Funciona Passpoint con los puntos de acceso existentes? Si se trata de hardware de clase empresarial de los últimos cinco años, casi con toda seguridad sí; busque la certificación Passpoint de la Wi-Fi Alliance en la hoja de especificaciones. ¿Puedo seguir recopilando datos de los huéspedes con Passpoint? Sí, pero el mecanismo cambia. La recopilación de datos ocurre en el momento del aprovisionamiento del perfil (en el flujo de OSU o en el registro basado en la aplicación) en lugar de en cada inicio de sesión. De hecho, esto es más respetuoso con el GDPR, ya que el consentimiento se captura una sola vez y de forma explícita. ¿Qué pasa con los establecimientos que quieren páginas de inicio de sesión personalizadas con su marca? Las conexiones Passpoint son invisibles por diseño, por lo que las páginas de inicio tradicionales no aplican. Sin embargo, puede activar notificaciones dentro de la aplicación o mensajes push después de la conexión si cuenta con una integración de aplicación de lealtad. Algunos operadores utilizan un modelo híbrido donde la primera visita aún pasa por un portal de marca antes del registro en Passpoint. ¿Es gratis unirse a OpenRoaming? El nivel sin cargos de liquidación de OpenRoaming, que utiliza el OI 5A-03-BA, está disponible sin costo a través de la Wireless Broadband Alliance. Los niveles comerciales con funciones de analítica y monetización están disponibles a través de los miembros de la WBA. --- RESUMEN Y PRÓXIMOS PASOS — aproximadamente 1 minuto En resumen: Passpoint no es una tecnología del futuro; es un protocolo maduro y basado en estándares que ya está implementado en los principales aeropuertos, cadenas de hoteles y estadios a nivel mundial. La pregunta para su organización no es si debe adoptarlo, sino cuándo y cómo. Si dirige un grupo hotelero, una cadena de retail o un gran establecimiento con visitantes recurrentes, el caso de ROI es claro: menor carga para la mesa de ayuda, mejor satisfacción del huésped, mitigación de riesgos de cumplimiento y datos analíticos precisos que no se ven afectados por la aleatorización de direcciones MAC. Sus próximos pasos son sencillos. Primero, audite su infraestructura actual de AP para verificar la certificación Passpoint. Segundo, evalúe su infraestructura RADIUS y determine si necesita un servidor OSU para el aprovisionamiento de autoservicio. Tercero, diseñe su estrategia de SSID dual y el proceso de incorporación. Y cuarto, si está considerando la federación OpenRoaming, póngase en contacto con la Wireless Broadband Alliance o con un proveedor de plataforma como Purple que pueda encargarse de la integración de la federación en su nombre. Este es el Informe Técnico de Purple sobre Passpoint y Hotspot 2.0. Para obtener la guía escrita completa, diagramas de arquitectura y ejemplos prácticos de implementación, visite purple.ai. Gracias por escuchar.