Software de Captive Portal de marca blanca: qué deben verificar los MSP y revendedores antes de firmar

El software de Captive Portal de marca blanca permite a un MSP o revendedor vender páginas de inicio de sesión de WiFi para invitados bajo su propia marca. Antes de firmar, confirme seis aspectos: verdadera arquitectura multinquilino con administración delegada, personalización de marca en dominio, correo electrónico y reportes, compatibilidad con cada proveedor de puntos de acceso que instale, un modelo de facturación que proteja su margen, registros de consentimiento de GDPR propiedad de su cliente y API documentadas.

¿Qué modelo de Captive Portal de marca blanca debe elegir?

Un Captive Portal es la página web que ve un dispositivo antes de que la red le conceda acceso a internet. El IETF establece la arquitectura en el RFC 8952. El RFC 8908 define una API que informa a los dispositivos sobre la presencia de un portal.

El software de Captive Portal de marca blanca le permite vender esa página de inicio de sesión bajo su propia marca. La consola y los reportes detrás de ella también llevan su marca.

Tres modelos comerciales dominan el mercado de revendedores. Se diferencian en tres puntos:

• quién mantiene el contrato con el cliente
• hasta dónde llega el alcance de su marca
• qué tan limpiamente se separan los datos de cada cliente

Elija primero el modelo y luego evalúe a los proveedores dentro de él.

Modelo	Su marca aparece en	Aislamiento de datos del cliente	Quién mantiene el contrato con el cliente	Facturación típica	Ideal para
Marca blanca completa, multinquilino	Página de inicio de sesión, dominio personalizado, consola de administración, correos electrónicos, SMS y reportes	Inquilino independiente por cliente, con roles de administración y claves API delimitados	Usted	Mayoreo por sitio o por punto de acceso; usted fija el precio al público	MSP con mesa de ayuda y un portafolio de clientes con inmuebles
Revendedor con marca compartida	Solo página de inicio de sesión y correos electrónicos; la consola y los reportes muestran al proveedor	Subcuentas o carpetas dentro de una cuenta compartida	Usted o el proveedor	Precio de lista del proveedor menos un descuento de revendedor	Revendedores que añaden WiFi para invitados a una venta de hardware
Referencia o contrato directo	Marca del proveedor en todo momento; usted aparece como instalador	Cuenta propia del cliente con el proveedor	El proveedor	Precio de lista del proveedor; usted gana una comisión por referencia o ingresos por servicios	Socios que ejecutan proyectos puntuales sin mesa de ayuda

La mayoría de los MSP con una mesa de ayuda y varios clientes con inmuebles eligen el primer modelo. El resto de esta guía asume dicho modelo y le muestra cómo comprobar lo que ofrece un proveedor.

En qué se diferencian realmente las plataformas de Captive Portal de marca blanca

Cada demostración de proveedor muestra una página de inicio de sesión personalizada. Las diferencias reales se encuentran en el fondo, en seis áreas. En conjunto, determinan su margen, su exposición en materia de cumplimiento y su carga de soporte.

Verdadera arquitectura multinquilino y administración delegada

Una verdadera arquitectura multinquilino significa un cliente por inquilino. Los datos, la configuración, las cuentas de administración y las claves API se aislan a nivel de plataforma. Una carpeta dentro de una cuenta compartida no es un inquilino. Si un rol mal configurado expone la lista de invitados de un cliente a otro, usted asume la responsabilidad de la infracción.

Pruebe la administración delegada en un inquilino de prueba, no en una presentación. Necesita al menos cuatro roles:

• su propio súper administrador
• un administrador de cliente
• un administrador de sede restringido a un solo sitio
• un rol de marketing de solo lectura

El gerente general de un hotel debe ver su propio hotel y nada más.

Solicite inicio de sesión único mediante SAML 2.0, el estándar OASIS para inicio de sesión federado. Debe funcionar con Microsoft Entra ID, Okta y Google Workspace.

SCIM 2.0 (System for Cross-domain Identity Management, RFC 7643 y RFC 7644) automatiza la creación y eliminación de cuentas de administrador. Sin esto, un empleado que deja la empresa en la estructura de su cliente mantiene el acceso a la consola hasta que alguien se acuerde de quitarlo. Verifique que los registros de auditoría se conserven por cliente (tenant) y se puedan exportar, para que pueda mostrarle a un cliente quién modificó qué.

Profundidad de la marca: dominio, correo del remitente, portal y reportes

La profundidad de la marca es donde la mayoría de las promesas de "marca blanca" se quedan cortas. Evalúe cada punto de contacto que un invitado o cliente podría ver:

• Dominio de la página de inicio de sesión. El Captive Portal debe cargarse desde su dominio o el de su cliente. El proveedor debe renovar su certificado TLS de forma automática.
• Consola de administración. Su logotipo, colores y URL deben estar en la pantalla de inicio de sesión. Una consola con la marca del proveedor le dice exactamente a su cliente a quién llamar al momento de la renovación.
• Correo del remitente. Los códigos de verificación y los correos de marketing deben enviarse desde su dominio. Esto requiere que SPF (RFC 7208), DKIM (RFC 6376) y DMARC (RFC 7489) estén alineados con su dominio, o los mensajes terminarán en la carpeta de spam.
• ID de remitente de SMS. Los mensajes de texto de verificación deben mostrar su nombre o el de la sede, nunca el del proveedor.
• Reportes. Las exportaciones programadas y los paneles de control deben llevar su imagen de marca, sin marcas de agua del proveedor. Si revende analíticas de WiFi, el reporte mensual es el producto que su cliente realmente ve.
• Enlaces de ayuda y páginas de estado. Los enlaces de la consola deben dirigir a su base de conocimientos o no llevar a ninguna parte.

Las plantillas por cliente (tenant) también son importantes. Un grupo de pubs y un ayuntamiento requieren diferentes flujos de inicio de sesión, redacción de consentimientos e idiomas.

Cobertura de hardware en toda su base instalada

Sus clientes ya cuentan con puntos de acceso y rara vez provienen de un solo proveedor. Solicite la lista de dispositivos compatibles por nombre y por plataforma de gestión: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. La respuesta "todos los proveedores principales" es una señal de alerta, no una respuesta.

El soporte implica más que una simple redirección. Para cada proveedor, confirme cuatro capacidades:

• redirección a Captive Portal externo
• autenticación RADIUS (Remote Authentication Dial-In User Service, RFC 2865)
• contabilidad RADIUS (RFC 2866) para datos de sesión
• configuración de walled garden para inicios de sesión sociales y de pago

Solicite una guía de integración publicada para cada proveedor. Después, realice pruebas en el firmware que sus clientes utilizan actualmente.

La cobertura de hardware también le protege durante los ciclos de renovación tecnológica. Una superposición en la nube se sitúa por encima de la red, por lo que un cliente puede cambiar de proveedor de puntos de acceso sin alterar la experiencia del invitado. Esto es fundamental para cualquier red que esté planificando la transición de puntos de acceso de WiFi 6 a WiFi 7 cuando Cisco Meraki WiFi 6 llegue al final de su comercialización.

El Guest WiFi de Purple funciona como una superposición en la nube independiente del hardware en los ocho proveedores anteriores. El contexto se encuentra en Por qué su próxima actualización de WiFi no necesita hardware nuevo.

Algunos clientes querrán más que acceso de invitados. Pregunte si la plataforma gestiona 802.1X, el estándar IEEE para el control de acceso a redes basado en puertos. Pregunte también sobre iPSK (clave precompartida de identidad), que otorga a cada dispositivo o persona su propia clave WiFi. Si agrega acceso para el personal, tenga a la mano la Guía de TI empresarial para la resolución de problemas de autenticación 802.1X en Windows 11.

Passpoint, también llamado Hotspot 2.0, permite que los invitados recurrentes se vuelvan a conectar automáticamente sin necesidad de un portal. OpenRoaming, la federación de la Wireless Broadband Alliance, hace lo mismo a través de las redes participantes. Una plataforma que no los incluya limita lo que usted puede vender más adelante.

Registros de consentimiento del GDPR que le pertenecen a su cliente

Bajo el GDPR, su cliente, el operador del establecimiento, es normalmente el responsable del tratamiento de los datos de los invitados (Artículo 4(7)). Usted actúa como encargado del tratamiento y el proveedor de la plataforma como su subencargado. El Artículo 28 exige un contrato por escrito en cada eslabón de esa cadena. El Artículo 28(2) prohíbe que un encargado contrate a un subencargado sin la autorización previa por escrito del responsable.

El Artículo 7(1) exige que el responsable demuestre el consentimiento. Eso significa un registro completo por cada invitado:

• marca de tiempo
• la redacción exacta que se mostró
• la versión del aviso de privacidad
• el canal
• las finalidades aceptadas

Una casilla de "aceptó marketing" no es suficiente. El Recital 32 agrega que las casillas premarcadas no cuentan como consentimiento. Para el marketing por correo electrónico y SMS en el Reino Unido, el consentimiento también debe cumplir con las Regulaciones de Privacidad y Comunicaciones Electrónicas (PECR).

Verifique tres puntos del contrato antes de firmar:

1. El proveedor no pretende utilizar los datos de los invitados para sus propios fines. Si lo hace, se convierte en responsable del tratamiento, y el aviso de privacidad de su cliente debe indicarlo.
2. El Artículo 28(3)(g) exige la devolución o eliminación de los datos personales cuando finaliza el contrato. Obtenga por escrito el formato de exportación, el plazo y el costo.
3. El proveedor publica una lista de subencargados y le notifica los cambios, para que usted pueda transmitir la notificación a los clientes.

Purple integra opciones de suscripción de elección consciente en el flujo de inicio de sesión, de modo que cada invitado elige activamente recibir marketing. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR.

Acceso a API y webhooks

Las API determinan qué parte de su propio servicio puede construir. Solicite una API REST documentada con claves delimitadas a un solo cliente. De este modo, una clave comprometida no podrá acceder a todos los clientes. Los puntos de enlace masivos para clientes, establecimientos y plantillas de portal le permiten automatizar la incorporación mediante scripts en lugar de hacer clic manualmente.

Los webhooks envían eventos, como el inicio de sesión de un invitado o un nuevo registro, al CRM de su cliente a medida que ocurren. Verifique tres cosas:

• los datos enviados estén firmados, de modo que el receptor pueda verificar al remitente
• las entregas fallidas se reintenten automáticamente
• los límites de frecuencia y cualquier cargo adicional por el acceso a la API estén confirmados por escrito

Escalamiento de soporte

En una plataforma de marca blanca, usted es el soporte de primer nivel. El cliente se comunica con usted y el proveedor nunca debe contactar a su cliente directamente. Eso convierte a la ruta de soporte de segundo nivel del proveedor en su término de servicio más importante.

Incluya esto en el contrato:

• niveles de gravedad definidos
• objetivos de tiempo de respuesta para cada nivel
• un contacto asignado para socios
• una ruta directa con ingeniería para incidentes de caída de sitio

El Artículo 33(2) exige que el encargado del tratamiento notifique al responsable de cualquier brecha sin dilación indebida. El contrato con su proveedor debe proporcionarle notificaciones lo suficientemente rápidas para cumplir con esa obligación ante su cliente.

También pida pruebas de escala. Purple gestionó 440 millones de inicios de sesión en 2024 en más de 80,000 ubicaciones activas en más de 90 países (datos propios de Purple).

Cuándo una plataforma de marca blanca totalmente multinquilino es la opción correcta

Elija una marca blanca completa cuando mantenga la relación con el cliente de principio a fin. Esto suele significar que se cumplen tres condiciones:

• opera una mesa de ayuda
• factura a los clientes mensualmente
• administra varios clientes con ubicaciones en distintos sectores

El WiFi para invitados se convierte en un concepto recurrente en su propia factura.

También es ideal para entornos con hardware mixto. Una sola plataforma independiente del hardware reemplaza múltiples consolas específicas de cada fabricante. Sus ingenieros aprenden un solo sistema y los reportes de cada cliente mantienen el mismo formato.

Escenario práctico: un grupo hotelero regional con dos proveedores de hardware

Situación. Un MSP administraba el WiFi para invitados de un grupo regional de 14 hoteles. Nueve hoteles utilizaban Cisco Meraki. Cinco hoteles, adquiridos el año anterior, utilizaban Ruckus con 210 puntos de acceso entre todos. El Captive Portal preseleccionado por el MSP solo era compatible con Meraki.

Qué se hizo. El MSP cambió su lista de opciones a plataformas independientes del hardware y realizó una prueba piloto en dos hoteles que abarcaba ambos fabricantes. Creó un inquilino para el grupo, asignando cada hotel como una ubicación. Los gerentes generales recibieron roles con acceso exclusivo a su ubicación. El responsable de marketing del grupo recibió acceso de solo lectura a los reportes de los 14 hoteles.

Resultado (cifras ilustrativas). Los 210 puntos de acceso Ruckus permanecieron en servicio en lugar de ser reemplazados. El grupo implementó un solo diseño de inicio de sesión, un mismo texto de consentimiento y un único reporte mensual para todas las propiedades.

Para obtener más información sobre el sector, consulte Hoteles y WiFi en restaurantes: una guía del Reino Unido sobre cobertura y seguridad.

Cuándo un contrato directo o con marca compartida es la opción correcta

La marca blanca completa no siempre justifica la carga administrativa. Es posible que venda el WiFi para invitados como un complemento único para un proyecto de hardware. En ese caso, una cuenta de marca compartida o una referencia es más simple, y usted evita el soporte de primer nivel para un producto que no desea administrar.

Un contrato directo es ideal para clientes grandes e independientes que cuentan con su propio departamento de TI, como una cadena nacional de Retail. Su equipo de compras puede preferir contratar directamente al proveedor. Los clientes de sectores regulados, como Salud, a menudo también realizan sus propias evaluaciones de proveedores.

Usted sigue ganando en la instalación, la gestión de la red y los levantamientos de sitio. La guía WiFi Site Surveys: A Practical Planning Guide cubre ese trabajo preliminar.

Cómo se calcula el precio del software Captive Portal de marca blanca

Dominan tres unidades de facturación: por sitio, por punto de acceso y por invitado. La mayoría de los proveedores venden al mayoreo y usted fija el precio al menudeo. Su margen depende menos del descuento que de alinear su unidad de facturación con la del proveedor.

Modelo de facturación	Usted paga por	Predictibilidad de costos	Principal riesgo para usted	Ideal para
Por sitio	Cada ubicación, sin importar el tamaño	Alta: cambia solo cuando una ubicación se suma o se da de baja	Los sitios pequeños cuestan lo mismo que los grandes	Cadenas de ubicaciones similares: pubs, restaurantes de servicio rápido, tiendas minoristas
Por punto de acceso	Cada punto de acceso administrado	Alta: cambia solo con proyectos de hardware	La densificación o una actualización a WiFi 7 agrega licencias	Estadios, centros de convenciones y otras ubicaciones con picos de asistencia
Por invitado	Cada invitado autenticado por mes	Baja: varía según la asistencia	Los picos por eventos generan sorpresas en la factura a menos que tengan un tope	Pilotos, ubicaciones de temporada y sitios con poco tráfico

La estructura más segura le factura a su cliente en la misma unidad en la que el proveedor le factura a usted. Si paga por punto de acceso pero cobra por sitio, cada proyecto de densificación afectará su margen.

Antes de firmar, verifique cuatro costos adicionales:

• plazos mínimos
• cláusulas de incremento anual
• cargos por acceso a la API o inquilinos adicionales
• verificación por SMS, que a menudo no está incluida en la licencia

Escenario de ejemplo: un centro de convenciones con picos por eventos

Situación. Un distribuidor cotizó WiFi para invitados para un centro de convenciones con 120 puntos de acceso. La asistencia mensual variaba desde unos 3,000 visitantes en meses tranquilos hasta 45,000 durante una feria comercial importante.

Lo que se hizo. El primer proveedor cotizó por invitado. El distribuidor modeló 12 meses de asistencia y descubrió que la factura variaba por un factor de 15. Cambió a un proveedor que facturaba por punto de acceso y le cobró a la ubicación una tarifa mensual fija.

Resultado (cifras ilustrativas). La línea de licencias se mantuvo en 120 puntos de acceso cada mes, por lo que la variación de costos mensuales se redujo a cero. La ubicación presupuestó una cifra anual fija. El margen del distribuidor dejó de depender del calendario de eventos.

Cómo decidir para su red: preguntas para RFP y señales de alerta

Envíe a cada proveedor preseleccionado las mismas preguntas y solicite respuestas por escrito. Luego verifique las más importantes en un inquilino de prueba.

Preguntas de RFP para enviar

1. ¿Es cada cliente un inquilino independiente con datos, configuraciones, cuentas de administración y claves API aislados?
2. ¿Qué roles de administración existen y se puede restringir un rol a una sola ubicación?
3. ¿Admiten el inicio de sesión único SAML 2.0 con Microsoft Entra ID, Okta y Google Workspace, además del aprovisionamiento SCIM?
4. ¿Pueden el Captive Portal, la consola, el correo remitente, el ID del remitente de SMS y los informes llevar nuestra marca?
5. ¿Quién emite y renueva los certificados TLS para dominios personalizados?
6. ¿Qué proveedores de puntos de acceso admiten y publican una guía de integración para cada uno?
7. ¿Admiten autenticación y contabilidad RADIUS, 802.1X, iPSK, Passpoint y OpenRoaming?
8. ¿Cuál es la unidad de facturación, el plazo mínimo y el incremento anual?
9. ¿Cuánto cobran por SMS, acceso a la API o inquilinos adicionales?
10. ¿Utilizan los datos de los invitados para algún fin propio?
11. ¿Qué contiene un registro de consentimiento y en qué formatos puede exportarlo nuestro cliente?
12. ¿Cómo y cuándo devuelven o eliminan los datos al finalizar el contrato?
13. ¿Dónde está su lista de subprocesadores y cómo notifican los cambios?
14. ¿Cuáles son sus niveles de gravedad y objetivos de respuesta, y qué tan rápido nos notificarán sobre una vulneración de seguridad?
15. ¿Cuál es el alcance de su certificado ISO 27001?

Banderas rojas que deberían detener una firma

Área	A qué se parece una buena opción	Bandera roja
Multinquilino	Inquilino independiente por cliente con datos y claves de API aislados	Los clientes se ubican en carpetas dentro de una sola cuenta compartida
Marca	Su dominio en el portal, la consola, correos electrónicos, SMS y reportes	Nombre del proveedor en correos electrónicos, URL de la consola o pies de página de reportes
Hardware	Proveedores nombrados, cada uno con una guía de integración publicada	"Todos los proveedores principales" sin una lista con nombres
Facturación	La unidad de facturación coincide con la forma en que cobra a los clientes, con un incremento topado	Precios por invitado sin límite, o acceso a la API solo en el nivel superior
Datos de invitados	El cliente es el controlador; el proveedor procesa únicamente bajo instrucción	El proveedor se reserva el derecho de utilizar los datos de los invitados para sí mismo
Salida	Registros de consentimiento exportados en CSV o JSON dentro de un período acordado	Exportación solo bajo solicitud, por una tarifa o en un formato propietario
Soporte	Niveles de gravedad, objetivos de respuesta y un contacto de escalación asignado	Solo formulario de tickets, sin tiempos de respuesta definidos

Escenario práctico: un ayuntamiento que cambia de distribuidor

Situación. Un distribuidor gestionaba la WiFi de invitados para un ayuntamiento a lo largo de 22 bibliotecas y centros deportivos. Al volver a licitar, el ayuntamiento eligió un proveedor diferente. Su equipo de eventos contaba con el consentimiento de unos 38,000 visitantes para recibir actualizaciones.

Lo que se hizo. El contrato del distribuidor con el proveedor incluía una cláusula de salida según el Artículo 28(3)(g). La cláusula exigía una exportación en JSON de cada registro de consentimiento en un plazo de 30 días, con marca de tiempo, versión del texto y canal.

Resultado (cifras ilustrativas). El ayuntamiento importó los 38,000 registros de consentimiento a su nueva plataforma. Continuó enviando correos electrónicos a los visitantes sin necesidad de una campaña para solicitar permiso nuevamente. El distribuidor finalizó la relación con una confirmación por escrito de que su copia de los datos fue eliminada.

Preguntas frecuentes

¿Qué es un Captive Portal de marca blanca?

Un Captive Portal de marca blanca es un software de inicio de sesión en WiFi de invitados que un MSP o distribuidor vende bajo su propia marca. El proveedor opera la plataforma, mientras que su logotipo, dominio, correo electrónico remitente y reportes se muestran de cara al cliente. Las plataformas más sólidas añaden una verdadera arquitectura multinquilino. De este modo, cada cliente se ubica en su propio inquilino aislado, con roles de administración delegados para gerentes de recintos y equipos de marketing.

¿Puede un MSP personalizar un Captive Portal con su propia marca?

Sí, siempre que la plataforma ofrezca una personalización de marca completa. La página de inicio de sesión debe cargarse desde su dominio con un certificado TLS válido. Los correos electrónicos deben enviarse desde su dominio con SPF, DKIM y DMARC alineados. La consola de administración y los informes no deben tener ninguna referencia del proveedor. Si la personalización se limita a la página de inicio de sesión, su cliente seguirá viendo el nombre del proveedor cada mes.

¿Cómo se calcula el precio del software de Captive Portal de marca blanca?

La mayoría de los proveedores cobran por sitio, por punto de acceso o por invitado, vendiéndolo al mayoreo para que usted establezca el precio al menudeo. El cobro por sitio se adapta a cadenas de establecimientos similares. El cobro por punto de acceso es ideal para recintos con gran afluencia de visitantes. El cobro por invitado conviene para pruebas piloto y sitios con poco tráfico, pero varía según la demanda. Para proteger su margen, facture a su cliente en la misma unidad que el proveedor le factura a usted.

¿Qué puntos de acceso debe admitir un portal de marca blanca?

Debe ser compatible con todos los proveedores instalados en los recintos de sus clientes, nombrados individualmente: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Para cada uno, confirme el redireccionamiento a un Captive Portal externo, la autenticación y contabilidad RADIUS, y el soporte de walled garden, respaldado por una guía de integración publicada. El Guest WiFi de Purple funciona en los ocho como una superposición en la nube independiente del hardware.

¿Quién es el propietario de los datos de los invitados en una plataforma de distribuidores?

Su cliente, el operador del recinto, debe ser el propietario de los datos de los invitados como controlador según el GDPR. Usted actúa como procesador y el proveedor de la plataforma como subprocesador, ambos vinculados por un contrato según el Artículo 28. Rechace los términos que permitan al proveedor utilizar los datos de los invitados para sus propios fines. Los registros de consentimiento deben exportarse a petición y devolverse a su cliente cuando finalice el contrato.

¿Los clientes necesitan hardware nuevo para migrar a una nueva plataforma de Captive Portal?

No, siempre y cuando la plataforma sea independiente del hardware. Una superposición en la nube se conecta a los puntos de acceso que su cliente ya utiliza, mediante un redireccionamiento a un Captive Portal externo y RADIUS. Se reconfigura la red para que apunte a la nueva plataforma en lugar de reemplazar el equipo. Realice pruebas en las versiones de firmware que sus clientes utilizan actualmente antes de programar la transición.

¿Se pueden migrar clientes existentes desde otra plataforma de Captive Portal?

Sí, siempre que su proveedor actual exporte los registros de consentimiento y los datos de los invitados de cada cliente en un formato útil. Solicite una exportación en CSV o JSON con marca de tiempo, redacción del consentimiento y canal, citando el Artículo 28(3)(g) del GDPR. Vuelva a crear las plantillas del portal en el nuevo entorno y ejecute ambas plataformas en un recinto piloto. Luego, cambie los sitios restantes en lotes para limitar el riesgo.