WiFi Landing Page vs. Splash Page: ¿Cuál es la diferencia?

Esta guía de referencia técnica aclara las diferencias arquitectónicas y funcionales entre las WiFi landing pages y las splash pages, dos términos que los equipos de TI y los departamentos de marketing suelen confundir. Proporciona a los arquitectos de red, gerentes de TI y directores de operaciones de recintos estrategias de implementación prácticas para optimizar el rendimiento del Captive Portal, garantizar el cumplimiento de GDPR y PCI DSS, y maximizar el ROI en recintos empresariales, incluidos los sectores de hotelería, retail y entornos públicos.

📖 8 min de lectura📝 2,414 palabras🔧 2 ejemplos resueltos❓ 3 preguntas de práctica📚 9 definiciones clave

Escucha esta guía

Ver transcripción del podcast

Bienvenido de nuevo al Purple Technical Briefing. Hoy abordaremos una pregunta que surge en casi todas las llamadas iniciales de definición de alcance con directores de tecnología (CTO) y arquitectos de red: ¿Cuál es exactamente la diferencia entre una landing page de WiFi y una splash page?

En el mundo del consumidor, la gente usa estos términos indistintamente. Pero cuando estás diseñando una red de invitados empresarial para cincuenta tiendas minoristas, o un despliegue de alta densidad en un estadio, confundir ambos términos puede generar problemas de cumplimiento normativo, experiencias de usuario interrumpidas y un ROI perdido.

Así que, durante los próximos diez minutos, definiremos la distinción técnica, analizaremos la arquitectura, discutiremos los errores de implementación más comunes y terminaremos con una sesión rápida de preguntas y respuestas. Comencemos.

[SECTION: TECHNICAL DEFINITIONS]

Primero, definamos los términos. Cuando hablamos de un Captive Portal, nos referimos a todo el mecanismo de jardín vallado (walled-garden) que intercepta el tráfico HTTP y HTTPS y obliga a un dispositivo cliente a autenticarse antes de otorgar acceso a la red externa.

Dentro de ese flujo del portal, la Splash Page es el guardián. Es la primera pantalla que ve un usuario cuando se conecta al SSID. Su función técnica principal es la autenticación y autorización. Es donde el usuario acepta los Términos y Condiciones, ingresa sus credenciales o se autentica a través de un proveedor de identidad, tal vez utilizando OAuth o una integración de lealtad. Desde el punto de vista del cumplimiento, aquí es donde manejas el consentimiento de GDPR y los descargos de responsabilidad de PCI DSS si estás procesando pagos.

Ahora, contrasta eso con la Landing Page. La landing page es el destino después de una autenticación exitosa. Una vez que el servidor RADIUS envía el mensaje Access-Accept y el dispositivo cliente se coloca en la VLAN activa con enrutamiento de internet, el jardín vallado se desactiva. El controlador luego redirige el navegador del usuario a la Landing Page.

¿Por qué es importante esta distinción? Porque la Splash Page existe en un entorno altamente restringido. El dispositivo aún no tiene acceso completo a internet. Solo puede llegar a las direcciones IP o nombres de host específicos que hayas incluido en la lista de permitidos en tu configuración de Walled Garden. Si intentas cargar scripts externos pesados, reproductores de video dinámicos o rastreadores complejos de terceros en una splash page sin la debida lista de permitidos, la página fallará y el usuario se quedará atrapado en un bucle de conexión.

La Landing Page, sin embargo, se encuentra en el internet abierto. El usuario ya está autenticado. Aquí, puedes cargar experiencias de marketing completas, enlaces dinámicos de descarga de aplicaciones, mapas interactivos del lugar y promociones dirigidas impulsadas por los datos de primera mano que acabas de capturar en la splash page.

[SECTION: IMPLEMENTATION AND PITFALLS]

Ahora hablemos de la implementación y de dónde veo que los despliegues fallan.

El error más común es sobrecargar la Splash Page. He visto equipos de marketing entregar una página de cinco megabytes con cuatro píxeles de seguimiento externos diferentes y un video de fondo, pidiéndole a TI que la convierta en la pantalla de inicio de sesión.

Cuando haces eso, tienes que agregar docenas de CDN y dominios de terceros a tu lista blanca de Walled Garden. Esto no solo es una pesadilla de mantener a medida que cambian esos rangos de IP, sino que también es un riesgo de seguridad. Estás abriendo agujeros en tu firewall de preautenticación. Además, los sistemas operativos móviles modernos, como iOS y Android, utilizan un mini-navegador especializado para renderizar los Captive Portals. Estos Asistentes de Red Cautiva, o CNA, tienen una funcionalidad limitada. A menudo bloquean las cookies, restringen el almacenamiento local y se cierran automáticamente si detectan una navegación externa antes de que la conexión a internet se establezca por completo.

¿La mejor práctica? Mantén la Splash Page ligera, rápida y enfocada puramente en la captura de datos y el consentimiento legal. Utiliza una solución de Captive Portal basada en la nube que optimice la carga útil de HTML para estos navegadores CNA.

Una vez que el usuario hace clic en Conectar, redirígelo a la Landing Page enriquecida y dinámica. Aquí es donde aprovechas tu plataforma de WiFi Analytics. Como ya has capturado su perfil, la Landing Page se puede personalizar. Si es un huésped que regresa a tu hotel, la Landing Page puede darle la bienvenida por su nombre y ofrecerle una reserva con un solo clic para el spa. Si se encuentra en un entorno de retail, puede mostrar una promoción basada en mapas de calor según su zona actual.

[SECTION: CASE STUDIES]

Permíteme presentarte dos casos de estudio concretos que ilustran esto a la perfección.

Primero, un complejo hotelero de quinientas habitaciones. Estaban experimentando altas tasas de abandono en el inicio de sesión de su WiFi para huéspedes. El equipo de marketing había agregado un video promocional de cuatro megabytes y un mapa interactivo complejo a la pantalla de conexión inicial. La solución fue sencilla: reemplazar la pantalla de conexión con una Splash Page ligera de menos de un megabyte, enfocada únicamente en la autenticación del número de habitación y el apellido, además de la aceptación de los Términos y Condiciones. El video y el mapa se trasladaron a la Landing Page posterior a la autenticación. Las tasas de conexión mejoraron en más del cuarenta por ciento durante la primera semana.

Segundo, una cadena de retail con cincuenta ubicaciones. Querían ofrecer un acceso WiFi sin fricciones a los miembros recurrentes de su programa de lealtad sin obligarlos a iniciar sesión cada vez. La solución fue el MAC Authentication Bypass integrado con la base de datos de lealtad. Cuando un dispositivo recurrente se asocia con el SSID, el controlador consulta al servidor RADIUS, identifica la dirección MAC y devuelve inmediatamente un Access-Accept sin presentar la Splash Page. El usuario es redirigido a una Landing Page personalizada con su estado de lealtad y una oferta dirigida. El resultado: un aumento del treinta por ciento en la interacción con la aplicación de lealtad en todas las sucursales.

[SECTION: RAPID-FIRE Q&A]

Ahora, pasemos a nuestra sección de preguntas y respuestas rápidas. Estas son las tres preguntas principales que recibo de los ingenieros de redes.

Pregunta uno: ¿Puedo omitir la Splash Page por completo para los usuarios recurrentes?

Sí. Esto se conoce como MAC Authentication Bypass o inicio de sesión continuo. El controlador reconoce la dirección MAC del dispositivo de una sesión anterior y lo autoriza automáticamente, llevándolo directamente a la Landing Page o a su destino original. Solo asegúrate de que tu política de privacidad contemple el rastreo persistente de dispositivos.

Pregunta dos: ¿Por qué mi Splash Page muestra un error de certificado?

Esto suele ocurrir cuando intentas interceptar tráfico HTTPS sin un certificado SSL válido en el controlador, o si estás utilizando un certificado autofirmado. Utiliza siempre un certificado de confianza pública para el hostname de tu Captive Portal y asegúrate de que tu controlador sea compatible con los estándares modernos de redirección HTTPS como RFC 8908.

Pregunta tres: ¿La Landing Page debe alojarse localmente en el controlador o en la nube?

Siempre en la nube. El alojamiento en el controlador limita tu capacidad para actualizar el contenido de forma dinámica, realizar pruebas A/B o integrarte con CRM externos. Una arquitectura basada en la nube separa el plano de control de red de la capa de experiencia del usuario, que es exactamente lo que requieren las implementaciones empresariales.

[SECTION: SUMMARY AND NEXT STEPS]

En resumen: La Splash Page es el guardián seguro y restringido para la autenticación y el consentimiento. Mantenla ligera (menos de un megabyte, sin dependencias externas y optimizada para el Captive Network Assistant). La Landing Page es el destino posterior a la autenticación para la interacción, el marketing y la generación de ROI. Funciona en el internet abierto con todas las capacidades del navegador.

Comprende las limitaciones del Walled Garden y del Captive Network Assistant, y evitarás el noventa por ciento de los tickets de soporte asociados con las implementaciones de WiFi para invitados.

Las tres reglas clave para recordar: Splash para Seguridad, Landing para Lealtad. El Walled Garden es un sandbox, no un patio de recreo. Y siempre: Autenticación antes que Animación.

Gracias por acompañarnos en esta sesión técnica. Si deseas profundizar en la configuración de Captive Portals basados en la nube, consulta la guía de referencia completa en el sitio web de Purple. Hasta la próxima, mantén tus redes seguras y a tus usuarios conectados.

Puntos clave

✓La Splash Page es el guardián previo a la autenticación que opera dentro del Walled Garden restringido; su único propósito es la verificación de identidad y el consentimiento legal.
✓La WiFi Landing Page es el destino posterior a la autenticación que opera en el internet abierto; su propósito es el engagement de marketing, la personalización y la generación de ROI.
✓El Captive Network Assistant (CNA) renderiza la Splash Page en un mini-navegador aislado (sandbox) que bloquea cookies, restringe JavaScript y limita la carga de recursos externos.
✓Sobrecargar la Splash Page con activos de marketing es la causa principal de fallas en la conexión WiFi de invitados y del aumento en el volumen de tickets de soporte.
✓La autenticación por omisión de dirección MAC (MAB) elimina la Splash Page para los dispositivos que regresan, redirigiéndolos directamente a una Landing Page personalizada, lo que mejora la experiencia de los visitantes recurrentes.
✓Una arquitectura de Captive Portal basada en la nube separa el plano de control de red de la capa de experiencia del usuario, lo que permite una gestión centralizada, actualizaciones de contenido dinámicas e integración con CRM.
✓El ROI medible del WiFi de invitados se genera principalmente a través de la Landing Page, mediante la atribución directa de ingresos, el engagement de lealtad y la captura de datos de primera mano que alimentan a WiFi Analytics.

📚 Parte de nuestra serie principal: Captive Portal Guide →

Resumen Ejecutivo

Para los equipos de TI empresariales que gestionan recintos de alta densidad —desde propiedades de Hospitality hasta complejos de Retail —, los términos "splash page" y "landing page" se confunden con frecuencia. Tratarlos como intercambiables en la arquitectura de red provoca flujos de usuario rotos, vulnerabilidades de seguridad y oportunidades perdidas de captura de datos.

A nivel fundamental, la Splash Page es el guardián previo a la autenticación. Existe dentro del entorno restringido de un Walled Garden, responsable de la verificación de identidad, la autenticación MAC y el consentimiento legal bajo GDPR y PCI DSS. La WiFi Landing Page es el destino posterior a la autenticación. Funciona en el internet abierto, aprovechando los datos capturados durante el inicio de sesión para ofrecer experiencias personalizadas, impulsar descargas de aplicaciones y generar un ROI medible a través de integraciones de Guest WiFi .

Esta guía detalla las especificaciones técnicas, las metodologías de implementación y los modos de falla comunes asociados con el diseño de Captive Portal, lo que permite a los arquitectos de red crear redes de acceso para invitados robustas, compatibles y generadoras de ingresos en cualquier tipo de recinto.

Análisis Técnico Profundo

La Arquitectura del Captive Portal

Un Captive Portal intercepta el tráfico HTTP/HTTPS de clientes no autenticados y los redirige a una interfaz web designada. Este mecanismo se basa en una combinación de secuestro de DNS, redirección HTTP 302 y autenticación RADIUS, con implementaciones modernas que adoptan cada vez más el RFC 8908 (Identificación de Captive Portal en DHCP y Anuncios de Enrutador) para permitir el descubrimiento nativo del Captive Portal a nivel de sistema operativo sin una interceptación HTTP frágil.

Dentro de esta arquitectura, la Splash Page y la Landing Page cumplen funciones fundamentalmente diferentes en distintos puntos del ciclo de vida de la autenticación.

1. La Splash Page (Estado de Pre-Autenticación)

Cuando un dispositivo se asocia con un SSID, el controlador inalámbrico lo coloca en una VLAN no autenticada. Todo el tráfico saliente se intercepta y se redirige al nombre de host del Captive Portal. El Captive Network Assistant (CNA) del sistema operativo —un pseudonavegador especializado y aislado integrado en iOS, Android y Windows— detecta el Captive Portal y renderiza la Splash Page.

Restricciones Técnicas del Entorno CNA:

El CNA no es un navegador completo. Funciona con restricciones significativas que afectan directamente lo que se puede implementar en una Splash Page:

Las cookies y el almacenamiento local a menudo se bloquean o se limitan severamente
Los frameworks complejos de JavaScript pueden fallar al ejecutarse
Los recursos externos (fuentes, scripts, imágenes) solo se pueden cargar si sus dominios están en la lista de permitidos (whitelisted) en el Walled Garden
El CNA se cerrará automáticamente si detecta que el dispositivo ha obtenido acceso a internet antes de que el usuario haya completado la autenticación
La persistencia de la sesión tras el cierre del CNA no es confiable

Funciones principales de la Splash Page:

Dados estos límites, la Splash Page debe diseñarse exclusivamente para: autenticación (inicio de sesión social a través de OAuth, SMS OTP, credenciales basadas en formularios o integración con programas de lealtad); aceptación de Términos y Condiciones; captura de consentimiento de GDPR; y registro de direcciones MAC para futuros inicios de sesión fluidos.

Recomendación de carga útil: Mantenga la Splash Page por debajo de 1MB. Utilice CSS en línea, evite bibliotecas de fuentes externas y minimice el uso de JavaScript. Cada dependencia externa requiere una entrada correspondiente en la lista de permitidos del Walled Garden, lo que representa tanto una carga de mantenimiento como una posible vulnerabilidad de seguridad.

2. La Landing Page (Estado posterior a la autenticación)

Tras una autenticación exitosa, el servidor RADIUS devuelve un mensaje Access-Accept. El controlador inalámbrico actualiza la sesión del cliente, migrando el dispositivo a una VLAN autenticada con enrutamiento de internet completo. Se elimina el Walled Garden. El controlador —o la plataforma de Captive Portal basada en la nube— emite una redirección HTTP 302 a la WiFi Landing Page.

En este punto, el dispositivo opera con un navegador completo y acceso a internet sin restricciones. La Landing Page puede aprovechar el conjunto completo de capacidades del desarrollo web moderno:

Contenido dinámico y personalizado impulsado por el perfil de usuario capturado en la Splash Page
Instrumentación analítica completa (Google Analytics, píxeles de seguimiento personalizados, webhooks de CRM)
Contenido multimedia enriquecido que incluye video, mapas interactivos y paneles de lealtad
Indicaciones de descarga de aplicaciones con enrutamiento de enlaces profundos (deep-links)
Promociones dirigidas basadas en datos de WiFi Analytics , incluyendo frecuencia de visitas, tiempo de permanencia y zona del establecimiento

Funciones principales de la Landing Page: Interacción de marketing, visualización de programas de lealtad, promociones dirigidas, navegación en el establecimiento y llamadas a la acción orientadas a la conversión.

Flujo de autenticación: De extremo a extremo

La siguiente secuencia ilustra el flujo completo desde la asociación con el SSID hasta la entrega de la Landing Page:

El dispositivo cliente se asocia con el SSID de invitados
El controlador asigna el dispositivo a una VLAN no autenticada
El cliente intenta una solicitud HTTP; el controlador la intercepta y emite una redirección 302 a la Splash Page
El CNA carga la Splash Page (los recursos se sirven únicamente desde dominios permitidos en el Walled Garden)
El usuario completa la autenticación y acepta los Términos y Condiciones
La plataforma de Captive Portal envía un Access-Request al servidor RADIUS
RADIUS devuelve Access-Accept; el controlador recibe un mensaje de Cambio de Autorización (CoA)
El controlador migra al cliente a la VLAN autenticada
La plataforma de Captive Portal emite una redirección 302 a la WiFi Landing Page
El navegador del cliente carga la Landing Page completa a través de internet abierto Esta clara separación de conceptos (la autenticación en la Splash Page y la interacción en la Landing Page) es la base arquitectónica de cualquier implementación de WiFi para invitados bien diseñada.

Guía de Implementación

Implementar una solución de WiFi para invitados escalable y de nivel empresarial requiere separar el plano de control de red de la capa de experiencia del usuario. Los siguientes pasos proporcionan un marco de implementación neutral respecto al proveedor, aplicable en infraestructuras Cisco Meraki, Aruba, Ruckus y Ubiquiti.

Paso 1: Configuración del Walled Garden

Configure su Controlador de LAN Inalámbrica (WLC) para permitir en la lista blanca únicamente los dominios y rangos de IP estrictamente necesarios para que la Splash Page funcione. Esto normalmente incluye:

El nombre de host de la plataforma de Captive Portal (por ejemplo, portal.purple.ai)
Dominios de proveedores de identidad para inicio de sesión social (por ejemplo, accounts.google.com, graph.facebook.com)
Dominios de pasarela de SMS si se utiliza autenticación OTP
Cualquier recurso de CDN utilizado por la propia Splash Page

Evite el exceso de elementos en la lista blanca. Cada entrada adicional aumenta la superficie de ataque de su red de preautenticación y complica el mantenimiento continuo a medida que cambian los rangos de IP.

Paso 2: Gestión de Certificados SSL

Configure el WLC con un certificado SSL válido y de confianza pública para el nombre de host de redirección del Captive Portal. Los certificados autofirmados generarán advertencias de seguridad del navegador en el CNA, lo que provocará que los usuarios abandonen el proceso de conexión. El vencimiento de los certificados es una de las causas principales de las interrupciones del WiFi para invitados; implemente la renovación automatizada a través de Let's Encrypt o su plataforma de gestión de certificados.

Paso 3: Optimización del CNA

Diseñe la Splash Page específicamente para el entorno CNA. Utilice CSS en línea, evite frameworks de JavaScript externos y realice pruebas en múltiples versiones de iOS y Android. El comportamiento del CNA de iOS en particular cambia entre los lanzamientos principales del sistema operativo; mantenga una matriz de pruebas de regresión que cubra al menos las dos versiones principales más recientes de ambas plataformas.

Paso 4: Lógica de Redirección Post-Autenticación

Configure la redirección post-autenticación para admitir URLs dinámicas de Landing Pages. El servidor RADIUS puede devolver atributos específicos del proveedor (VSAs) o la plataforma de Captive Portal puede utilizar el perfil de usuario autenticado para construir una URL personalizada. Esto permite la segmentación: un visitante que llega por primera vez recibe una oferta de bienvenida, mientras que un miembro del programa de lealtad con estatus Gold recibe un panel personalizado.

Paso 5: Integración de Analytics

Equipe la Landing Page con su suite de analítica. Debido a que el usuario ahora se encuentra en el internet abierto con un navegador completo, las herramientas de analítica estándar funcionan con normalidad. Intégrelo con su CRM para crear un perfil de cliente unificado que combine los datos de la sesión de WiFi con el historial de compras, el estatus de lealtad y las métricas de interacción de marketing.

Para obtener una comparación detallada entre las arquitecturas de Captive Portal basadas en la nube y las locales, consulte Captive Portal en la nube frente a local: ¿cuál es el adecuado para su empresa? .

Mejores Prácticas

Desacople la autenticación y el marketing. La decisión arquitectónica más importante es utilizar la Splash Page estrictamente para el acceso seguro y el consentimiento, y trasladar todos los activos de marketing a la Landing Page. Esto mejora las tasas de conexión, reduce los tickets de soporte y simplifica las auditorías de cumplimiento.

Aproveche el MAC Authentication Bypass para usuarios recurrentes. Para los dispositivos que regresan, el MAC Authentication Bypass (MAB) elimina por completo la Splash Page, redirigiendo a los usuarios directamente a una Landing Page personalizada. Esto mejora drásticamente la experiencia del usuario para los visitantes recurrentes en entornos de Hospitality y Retail . Asegúrese de que su política de privacidad cubra explícitamente el seguimiento persistente de dispositivos.

Adopte arquitecturas centradas en la nube. Así como la industria de redes se ha movido hacia WAN definida por software para una gestión centralizada — como se detalla en The Core SD WAN Benefits for Modern Businesses — las plataformas de Captive Portal deben estar alojadas en la nube. Esto permite una gestión centralizada en propiedades de recintos distribuidos, actualizaciones rápidas de contenido sin cambios en el firmware del controlador e integración fluida con CRMs externos y plataformas de automatización de marketing.

Implemente RFC 8908 para compatibilidad con sistemas operativos modernos. La detección nativa de Captive Portal a través de RFC 8908 reduce la dependencia de la interceptación HTTP, mejorando la confiabilidad en las versiones modernas de iOS y Android que imponen cada vez más la navegación exclusiva por HTTPS.

Mantenga un programa de auditoría de Walled Garden. Revise las entradas de Walled Garden trimestralmente. Los rangos de IP de los principales proveedores de identidad cambian sin previo aviso. Las entradas obsoletas que ya no se resuelven crean fallas de autenticación; las entradas faltantes bloquean los flujos de autenticación legítimos.

Resolución de problemas y mitigación de riesgos

El bucle de conexión. Si un usuario se autentica pero es redirigido repetidamente a la Splash Page, verifique que el mensaje RADIUS Access-Accept esté llegando al controlador y que el cliente esté recibiendo correctamente una concesión DHCP en la VLAN autenticada. También verifique que el puerto CoA (Change of Authorization) (UDP 3799) no esté bloqueado por un firewall intermedio.

Cierre prematuro de CNA. Si el CNA se cierra antes de que el usuario pueda autenticarse, es probable que el dispositivo haya detectado acceso a internet de forma prematura. Esto puede ocurrir si el Walled Garden es demasiado permisivo, permitiendo inadvertidamente el enrutamiento completo a internet antes de que se complete la autenticación. Revise las entradas de Walled Garden para evitar rangos CIDR excesivamente amplios.

Errores de intercepción de HTTPS. Los navegadores modernos aplican la Seguridad de Transporte Estricta de HTTP (HSTS). Si un usuario intenta navegar a un dominio precargado con HSTS antes de autenticarse, el navegador bloqueará el redireccionamiento del Captive Portal. Implemente el RFC 8908 para habilitar la detección nativa del Captive Portal, o indique a los usuarios que naveguen a un dominio que no sea HSTS para activar el CNA.

Fallas de scripts de terceros en la Splash Page. Si los equipos de marketing han agregado píxeles de seguimiento o scripts de análisis a la Splash Page, estos fallarán silenciosamente en el entorno del CNA si sus dominios no están en la lista de permitidos. La resolución correcta es eliminar estos scripts por completo de la Splash Page y volver a implementarlos en la Landing Page, donde funcionarán correctamente.

Brechas de cumplimiento de GDPR. Asegúrese de que el mecanismo de consentimiento en la Splash Page cumpla con los requisitos del Artículo 7 de GDPR: el consentimiento debe ser libre, específico, informado e inequívoco. Las casillas de consentimiento marcadas previamente no cumplen con la normativa. Mantenga un registro de auditoría de consentimiento por un mínimo de tres años.

ROI e impacto comercial

Una arquitectura de Splash/Landing Page correctamente implementada transforma el WiFi para invitados de un centro de costos a un activo medible que genera ingresos. El caso financiero opera en tres dimensiones.

Captura de datos e inteligencia de origen (First-Party). Al optimizar la Splash Page, los establecimientos aumentan las tasas de conexión y el volumen de datos de origen capturados. En entornos de Salud y Transporte , estos datos respaldan el análisis operativo (patrones de afluencia, tiempo de permanencia por zona y pronóstico de demanda máxima), lo que permite tomar decisiones de asignación de recursos con ahorros de costos medibles.

Atribución directa de ingresos. La Landing Page es la superficie de conversión principal. El despliegue en un estadio puede utilizar la Landing Page para promover el pedido de alimentos y bebidas desde el asiento, correlacionando directamente el acceso a la red con los ingresos por transacciones. Un hotel puede ofrecer reservas de spa o mejoras de habitación. Un minorista puede ofrecer promociones específicas de la zona impulsadas por datos de ubicación en tiempo real de WiFi Analytics .

Fidelización y retención. Las experiencias personalizadas en la Landing Page, impulsadas por el perfil de usuario capturado en la Splash Page, aumentan la participación en el programa de fidelización. Los usuarios recurrentes que reciben una experiencia de bienvenida personalizada muestran una duración de sesión y una frecuencia de visitas repetidas significativamente mayores en comparación con los usuarios a los que se les presenta una landing page genérica.

Los KPI medibles para un despliegue de WiFi para invitados deben incluir: tasa de conexión WiFi (objetivo >70% de los visitantes del establecimiento), tasa de captura de datos (objetivo >85% de los usuarios conectados), tasa de clics en la Landing Page en el CTA principal y los ingresos directos atribuidos a las promociones impulsadas por WiFi.

Escuche el podcast completo de la sesión informativa técnica a continuación:

Definiciones clave

Captive Portal

Un mecanismo de control de acceso basado en web que intercepta el tráfico de red de clientes no autenticados y los redirige a una interfaz de autenticación antes de otorgar un acceso de red más amplio.

El sistema global que los equipos de TI implementan para gestionar el acceso de invitados, aplicar políticas de uso aceptable, capturar el consentimiento del usuario y recopilar datos de primera mano.

Splash Page

La interfaz de autenticación inicial que se presenta dentro del flujo del Captive Portal, operando dentro del entorno restringido de Walled Garden antes de que se le haya otorgado acceso a internet al usuario.

Donde los arquitectos de red deben enfocarse en un diseño ligero, verificación de identidad y consentimiento legal. Sobrecargar incorrectamente esta página con activos de marketing es la causa principal de fallas en la conexión de WiFi de invitados.

WiFi Landing Page

La página de destino posterior a la autenticación que se carga en el navegador completo del usuario después de que el servidor RADIUS ha otorgado acceso a internet al dispositivo.

Donde los equipos de marketing y operaciones implementan contenido multimedia enriquecido, contenido personalizado, integraciones de lealtad y campañas de interacción. Funciona sin las restricciones del Walled Garden.

Walled Garden

Un entorno de red restringido que permite a los usuarios no autenticados acceder únicamente a un conjunto específico y explícitamente incluido en la lista blanca de direcciones IP o nombres de host, bloqueando todo el demás tráfico de internet.

El límite técnico dentro del cual debe operar la Splash Page. Cada recurso externo utilizado por la Splash Page debe tener su dominio o rango de IP agregado a la lista blanca del Walled Garden.

Captive Network Assistant (CNA)

Un pseudonavegador especializado y aislado (sandbox) integrado en los sistemas operativos móviles (iOS, Android, Windows) que detecta y renderiza automáticamente las páginas de inicio de sesión del Captive Portal.

La razón principal por la cual las Splash Pages deben ser ligeras y evitar JavaScript complejo, cookies externas o archivos multimedia grandes. El comportamiento del CNA varía entre las versiones de SO y requiere pruebas de regresión continuas.

MAC Authentication Bypass (MAB)

Una técnica de control de acceso a la red que autentica dispositivos según su dirección MAC de hardware sin requerir la interacción del usuario, lo que permite un inicio de sesión fluido para los dispositivos que regresan.

Se utiliza para proporcionar experiencias de inicio de sesión sin fricciones para invitados recurrentes o dispositivos IoT registrados. Requiere la integración entre el servidor RADIUS y la base de datos de lealtad o registro de dispositivos del establecimiento.

RADIUS (Remote Authentication Dial-In User Service)

Un protocolo de red que proporciona una gestión centralizada de Autenticación, Autorización y Contabilidad (AAA) para el acceso a la red, definido en RFC 2865.

La infraestructura de servidor backend que valida las credenciales enviadas en la Splash Page, indica al controlador que otorgue el acceso y devuelve los atributos de usuario utilizados para personalizar la Landing Page.

RFC 8908

El estándar IETF que define la API del Captive Portal, lo que permite a los dispositivos descubrir e interactuar con los captive portals de forma nativa a través de opciones DHCP y Router Advertisements en lugar de depender de la interceptación HTTP.

Un estándar moderno que mejora la confiabilidad del Captive Portal en iOS 14+ y Android 11+, reduciendo las fallas de conexión relacionadas con el CNA causadas por problemas de interceptación HTTPS.

Change of Authorization (CoA)

Una extensión de RADIUS (RFC 5176) que permite al servidor RADIUS modificar dinámicamente una sesión de red activa; por ejemplo, migrar un cliente de una VLAN no autenticada a una autenticada después de un inicio de sesión exitoso.

El mecanismo mediante el cual la plataforma del Captive Portal indica al controlador inalámbrico que otorgue acceso a internet después de que el usuario completa la autenticación en la Splash Page.

Ejemplos resueltos

Un hotel resort de 500 habitaciones está experimentando altas tasas de abandono en el inicio de sesión de su WiFi para huéspedes. El equipo de marketing agregó recientemente un video promocional de 4MB y un mapa interactivo complejo del lugar a la pantalla de conexión inicial. Las tasas de conexión han caído del 68% al 31% desde la actualización. ¿Cómo debería resolver esto el arquitecto de red?

El arquitecto debe desacoplar las funciones de autenticación y de marketing. Paso 1: Reemplazar la pantalla de conexión actual con una Splash Page ligera de menos de 1MB, que contenga únicamente el formulario de autenticación (número de habitación y apellido), una casilla de consentimiento que cumpla con el GDPR y la aceptación de los Términos y Condiciones. Paso 2: Eliminar todas las dependencias de scripts externos de la Splash Page y servir todos los recursos desde la propia CDN de la plataforma del Captive Portal, que ya está en la lista blanca del Walled Garden. Paso 3: Configurar la redirección posterior a la autenticación del controlador inalámbrico para enviar al usuario a una Landing Page recién creada y alojada en el internet abierto. Paso 4: Mover el video promocional de 4MB y el mapa interactivo del lugar a esta Landing Page. Paso 5: Instrumentar la Landing Page con la integración del CRM del hotel para personalizar el mensaje de bienvenida según el perfil del usuario autenticado. Paso 6: Implementar MAC Authentication Bypass para los huéspedes que regresan, eliminando por completo la Splash Page en las visitas posteriores.

Comentario del examinador: Este enfoque resuelve el problema de abandono al reconocer las limitaciones fundamentales del Captive Network Assistant (CNA). Los recursos pesados provocaban que el CNA expirara o no se renderizara dentro del entorno restringido del Walled Garden. Moverlos a la Landing Page posterior a la autenticación garantiza que se carguen correctamente utilizando las capacidades completas del navegador del dispositivo a través de una conexión a internet establecida. La implementación de MAB para los huéspedes que regresan mejora aún más la experiencia para los clientes recurrentes más valiosos del hotel, mientras que la integración del CRM en la Landing Page crea una vía medible de atribución de ingresos.

Una cadena de retail desea ofrecer acceso WiFi sin fricciones a los miembros recurrentes de su programa de lealtad en 50 ubicaciones, omitiendo la pantalla de inicio de sesión pero mostrando una oferta de bienvenida personalizada y el saldo actual de sus puntos de lealtad. ¿Cuál es la arquitectura técnica recomendada?

Implementar MAC Authentication Bypass (MAB) integrado con la base de datos de lealtad a través de RADIUS. Arquitectura: (1) Cuando un dispositivo recurrente se asocia con el SSID, el controlador envía un RADIUS Access-Request que contiene la dirección MAC del dispositivo. (2) El servidor RADIUS consulta la base de datos de lealtad para hacer coincidir la dirección MAC con un perfil de lealtad. (3) Si se encuentra una coincidencia, el servidor RADIUS devuelve un Access-Accept con un atributo específico del proveedor (VSA) que contiene un token de usuario firmado. (4) El controlador otorga acceso inmediato a internet y emite una redirección a la URL de la Landing Page, agregando el token firmado como un parámetro de consulta. (5) La Landing Page alojada en la nube decodifica el token, consulta la API de lealtad para obtener el saldo de puntos actual del usuario y la oferta personalizada, y renderiza una experiencia de bienvenida a la medida. Para nuevos usuarios o dispositivos no reconocidos, se presenta el flujo estándar de la Splash Page, con la opción de vincular el dispositivo a su cuenta de lealtad para un futuro acceso sin fricciones.

Comentario del examinador: Esta solución utiliza correctamente MAB para el control de acceso a la red mientras aprovecha la Landing Page para el requerimiento de marketing. El enfoque del token firmado evita la manipulación de URL y garantiza que el contenido personalizado se sirva únicamente al usuario autenticado. La alternativa de la Splash Page estándar para dispositivos no reconocidos asegura que la adquisición de nuevos clientes no se vea comprometida. Esta arquitectura demuestra una comprensión madura del diseño desacoplado de Captive Portal y es directamente aplicable a implementaciones de retail empresarial en propiedades distribuidas.

Preguntas de práctica

Q1. Una organización del sector público requiere que todos los usuarios de WiFi para invitados acepten una Política de Uso Aceptable (AUP) extensa antes de acceder a internet. El equipo de comunicación también desea mostrar un feed dinámico de los próximos eventos comunitarios y un muro de redes sociales en vivo. ¿Cómo debería estructurar este requisito a lo largo del flujo del Captive Portal?

Sugerencia: Considere las limitaciones del Captive Network Assistant (CNA) y del Walled Garden al decidir dónde colocar cada elemento de contenido.

Ver respuesta modelo

Coloque la Política de Uso Aceptable (AUP) en la Splash Page para garantizar el cumplimiento legal antes de la autenticación. La AUP debe presentarse como texto en línea o en un div con barra de desplazamiento (no cargado desde una URL externa) para evitar dependencias del Walled Garden. Una vez que el usuario acepta la AUP y se autentica, rediríjalo a la Landing Page para mostrar el feed dinámico de eventos comunitarios y el muro de redes sociales. El muro de redes sociales en particular requiere llamadas a API externas que no pueden funcionar dentro del Walled Garden, lo que convierte a la Landing Page en la única ubicación viable.

Q2. Durante un nuevo despliegue en un centro de conferencias, los usuarios informan que la pantalla de inicio de sesión aparece correctamente, pero cuando hacen clic en "Iniciar sesión con LinkedIn", la página agota el tiempo de espera y devuelve un error. La configuración del controlador y el servidor RADIUS funcionan correctamente para la autenticación por correo electrónico/contraseña. ¿Cuál es la causa más probable y la solución?

Sugerencia: Piense en qué acceso a la red se requiere para que un proveedor de identidad OAuth de terceros complete su flujo de autorización durante la fase de preautenticación.

Ver respuesta modelo

La configuración del Walled Garden está incompleta. El flujo de OAuth de LinkedIn requiere que el dispositivo cliente se comunique con los servidores de autorización de LinkedIn (por ejemplo, www.linkedin.com, api.linkedin.com) durante la fase de preautenticación. Estos dominios no están en la lista blanca, por lo que la redirección de OAuth falla. La solución es identificar todos los rangos de IP y nombres de host utilizados por la API de OAuth de LinkedIn y agregarlos a la lista blanca del Walled Garden en el controlador inalámbrico. Tenga en cuenta que LinkedIn (y otros proveedores de identidad importantes) pueden utilizar múltiples dominios alojados en CDN; revise la documentación de OAuth o utilice una captura de paquetes para identificar todos los endpoints requeridos.

Q3. Un cliente de retail desea rastrear el comportamiento del usuario en la pantalla de inicio de sesión inicial de WiFi utilizando Google Analytics 4 y un píxel de retargeting personalizado de su plataforma publicitaria. El equipo de marketing ha proporcionado un fragmento de código de administrador de etiquetas para agregarlo a la Splash Page. ¿Por qué es esto técnicamente problemático y cuál es la alternativa recomendada que preserva los requisitos de medición del equipo de marketing?

Sugerencia: Evalúe las capacidades del mini-navegador CNA y las implicaciones de agregar dominios de scripts externos al Walled Garden.

Ver respuesta modelo

Esto es problemático por dos razones. Primero, el CNA a menudo bloquea las cookies y restringe la ejecución de JavaScript, lo que hace que los scripts de seguimiento del lado del cliente sean ineficaces o poco confiables. Segundo, Google Tag Manager y los píxeles publicitarios cargan scripts desde múltiples dominios externos; agregar todos estos al Walled Garden genera una exposición de seguridad significativa y costos de mantenimiento continuos. La alternativa recomendada es un enfoque de dos partes: (1) Capturar el evento de autenticación del lado del servidor a través de la API de la plataforma de Captive Portal o los registros de contabilidad de RADIUS, y enviar este evento a Google Analytics 4 utilizando el Measurement Protocol (del lado del servidor), que no requiere JavaScript del lado del cliente. (2) Desplegar el contenedor completo de Google Tag Manager y el píxel de retargeting en la Landing Page posterior a la autenticación, donde el entorno completo del navegador garantiza una ejecución confiable de los scripts y las funciones de seguimiento basadas en cookies operan normalmente.

Continúe leyendo esta serie

Captive Portal para Ruijie: configúralo con Purple guest WiFi

Cómo la plataforma de guest WiFi en la nube de Purple se integra sobre los puntos de acceso Ruijie RG Series mediante autenticación web y RADIUS, configurada desde la línea de comandos, y dónde encontrar los pasos exactos de configuración.

Diseño de Captive Portals B2B: Recopilación de Nombres Registrados y Datos de la Empresa

Esta guía proporciona a los directores de TI y operadores de recintos un marco técnico neutral del proveedor para diseñar Captive Portals B2B. Detalla cómo estructurar los campos de registro para capturar el nombre registrado y los datos de la empresa, garantizando altas tasas de finalización al tiempo que se mantiene el cumplimiento de GDPR y se crea inteligencia a nivel de cuenta.

Captive Portal Architecture: Security, Redirection, and Best Practices

Una referencia técnica definitiva sobre la arquitectura de Captive Portal empresarial. Esta guía detalla el aislamiento de red, la redirección de DNS, la autenticación RADIUS y el cumplimiento de seguridad para los líderes de TI que implementan redes WiFi de invitados seguras y enriquecidas con datos.