Cómo funciona el WiFi para empleados, desde la incorporación hasta la baja
El WiFi para empleados seguro no es una sola función; es un ciclo de vida que acompaña a cada empleado desde su primer día hasta el último. Esto es exactamente lo que ocurre en cada etapa cuando Purple gestiona su WiFi para empleados como RADIUS en la nube integrado con su proveedor de identidad: sin contraseñas compartidas ni hardware local.
En resumen / Puntos clave
- El WiFi para empleados seguro es un ciclo de vida de la identidad, no una sola función: el acceso se concede, se delimita y se revoca automáticamente a medida que los empleados se incorporan, cambian de puesto o se van.
- La incorporación es sin contraseña: un certificado (EAP-TLS) o una credencial única por dispositivo, nunca una contraseña compartida, emitida a través de su MDM o la Purple App en unos 60 segundos.
- El aprovisionamiento SCIM con Entra ID, Okta o Google Workspace vincula el acceso WiFi a la pertenencia al directorio, de modo que un empleado que se va pierde el WiFi en el momento en que pierde el correo electrónico.
- Todo el ciclo de vida se ejecuta en RADIUS en la nube a través de sus puntos de acceso existentes: sin servidores RADIUS locales ni hardware que enviar por ubicación.
El ciclo de vida del WiFi para empleados, etapa por etapa
Seis etapas, una sola identidad. Cada etapa es automática: el empleado nunca ve una contraseña y el equipo de TI nunca tiene que cambiarla.
Un empleado se incorpora y su cuenta se aprovisiona automáticamente
Cuando el departamento de RR. HH. añade a una nueva incorporación en Microsoft Entra ID, Okta o Google Workspace, el aprovisionamiento SCIM envía esa identidad a Purple automáticamente, sin necesidad de crear una solicitud de WiFi independiente. Su pertenencia a grupos (departamento, rol, ubicación) se sincroniza al mismo tiempo y determina a qué segmento de red accederá.
Su dispositivo recibe un certificado
En un portátil gestionado, se emite un certificado EAP-TLS en segundo plano a través de su MDM (Intune, Jamf, Kandji o Hexnode). En un teléfono o tableta personal, el empleado abre la Purple App, inicia sesión una vez con su identidad corporativa y se instala una credencial de WiFi única en unos 60 segundos. No se muestra ni se introduce nunca ninguna contraseña compartida.
El dispositivo se conecta con 802.1X
El dispositivo se asocia al SSID WPA2 o WPA3-Enterprise. El punto de acceso reenvía la solicitud 802.1X al RADIUS en la nube de Purple, el cual valida el certificado con su proveedor de identidades y devuelve la VLAN y la directiva correctas. El empleado está conectado, en el segmento correcto y con una clave de sesión única, en cuestión de milisegundos.
El acceso sigue al usuario en todas las instalaciones
La misma identidad funciona en cualquier edificio. Al entrar en otra oficina, sucursal o espacio con varias ubicaciones donde se ejecute Purple, el dispositivo se conecta automáticamente: sin nueva contraseña ni reconfiguración. Las directivas de acceso condicional de Microsoft Entra ID se aplican en cada conexión, por lo que no se admite ningún dispositivo que no supere la comprobación de cumplimiento.
Las directivas y la actividad permanecen visibles
Cada autenticación se registra con el usuario, el dispositivo, el punto de acceso, el SSID y el resultado, y se transmite a su SIEM (Microsoft Sentinel, Splunk, Elastic o Datadog). El equipo de TI puede ver quién está conectado en todas las instalaciones y deshabilitar a un usuario o dispositivo individual al instante, sin interrumpir a nadie más.
El empleado se marcha y el acceso se revoca automáticamente
Cuando se tramita la baja del empleado en su proveedor de identidades, el desaprovisionamiento SCIM elimina su acceso a la WiFi en el mismo instante en que se revoca su correo electrónico. No hay rotación de contraseñas a nivel de empresa, ni credenciales huérfanas, ni pasos manuales: el certificado o la clave simplemente deja de autenticarse en el siguiente intento.
Por qué el ciclo de vida es la prueba
Esta es la diferencia entre el WiFi para empleados y el WiFi para invitados con una página de seguridad añadida como parche. El WiFi para invitados se optimiza para un registro con la mínima fricción; el WiFi para empleados se optimiza para la identidad. Como cada conexión está vinculada a una persona o dispositivo verificado durante todo el ciclo de vida del empleado (concedida el primer día, delimitada según su rol y revocada el último día), obtiene responsabilidad por usuario, revocación instantánea y un registro de auditoría limpio sin una sola contraseña compartida en la red. Eso es la red basada en la identidad y es la base para el acceso a la red de cero confianza.
Preguntas frecuentes
¿Cómo se revoca el acceso a la WiFi para empleados cuando un empleado se marcha?
De forma automática, a través de su proveedor de identidad. Dado que cada empleado se autentica con su propio certificado o credencial, gestionar su baja en Microsoft Entra ID, Okta o Google Workspace elimina su acceso a la WiFi mediante SCIM en el mismo momento en que se revoca su correo electrónico. No hay ninguna contraseña compartida a nivel de empresa que cambiar ni credenciales huérfanas: su certificado o clave deja de autenticarse en el siguiente intento.
¿Qué es el aprovisionamiento SCIM para WiFi?
SCIM (System for Cross-domain Identity Management) es el estándar que utiliza su proveedor de identidad para enviar cambios de usuarios y grupos a otros sistemas. Con Purple, SCIM mantiene el acceso a la WiFi sincronizado automáticamente con su directorio: cuando alguien se incorpora, se aprovisiona su acceso y su pertenencia a un grupo establece su VLAN; cuando se marcha, se desaprovisiona el acceso, sin necesidad de administración manual de la WiFi.
¿Cuánto tarda la incorporación a la WiFi para empleados de un nuevo trabajador?
Unos 60 segundos para un dispositivo personal: el empleado abre la Purple App, inicia sesión una vez con su identidad corporativa y se instala una credencial de WiFi única. En los portátiles gestionados el proceso es transparente: el certificado EAP-TLS se despliega a través de su MDM (Intune, Jamf, Kandji o Hexnode) antes de que el usuario llegue a conectarse.
¿El ciclo de vida de la WiFi para empleados funciona en múltiples ubicaciones?
Sí. Como la autenticación se ejecuta en el RADIUS en la nube de Purple en lugar de en hardware por sede, la misma identidad se conecta automáticamente en cada edificio, sucursal o recinto de la red, sin contraseñas nuevas ni reconfiguraciones. Se adapta perfectamente a entornos multiubicación como ayuntamientos, cadenas de hostelería y comercio minorista, o agrupaciones de centros educativos.
¿Necesito un servidor RADIUS o hardware nuevo para algo de esto?
No. Purple opera el servidor RADIUS como un servicio en la nube y funciona con los puntos de acceso empresariales que ya posee (Cisco, Aruba, Ruckus, Juniper Mist, Cisco Meraki, Ubiquiti, entre otros). Solo tiene que orientar sus puntos de acceso a Purple: no hay ningún servidor RADIUS local que instalar, parchear o mantener en alta disponibilidad.
Última revisión:
Explore las guías completas de WiFi
WiFi para empleados
El producto detrás del ciclo de vida: WiFi para empleados sin contraseña con 802.1X por usuario, integración con proveedores de identidad y revocación instantánea.
RADIUS-as-a-Service
El motor RADIUS en la nube que autentica cada solicitud de conexión: EAP-TLS, PEAP e iPSK, sin servidor local.
WiFi sin contraseña
EAP-TLS, iPSK, Passpoint y SAML/SSO. Reemplace las contraseñas compartidas por credenciales basadas en la identidad.
WPA2 & WPA3-Enterprise
Los estándares a nivel de cifrado detrás del ciclo de vida: 802.1X en sus puntos de acceso existentes con certificados gestionados.
El estándar de WiFi para empleados
Evalúe su despliegue con respecto a los niveles Bronce, Plata y Oro para autenticación, gestión de dispositivos e integración de identidad: una evaluación de diez minutos para líderes de TI.
Vea el ciclo de vida funcionando en sus propios puntos de acceso
Le mostraremos paso a paso cómo se conecta Purple a su proveedor de identidad, cómo es la experiencia del empleado y cómo se revoca el acceso en el momento en que alguien deja la empresa.