Le meilleur logiciel de Captive Portal en 2026 : Un guide comparatif
Ce guide propose une comparaison faisant autorité et neutre vis-à-vis des fournisseurs des principales plateformes logicielles de Captive Portal disponibles en 2026, évaluées en fonction de leurs fonctionnalités, de leur conformité, de la profondeur de leur intégration et du coût total de déploiement. Il est destiné aux responsables informatiques, aux architectes réseau et aux CTO d'hôtels, de chaînes de magasins, de stades, de centres de conférence et d'organisations du secteur public qui doivent prendre une décision d'achat ou d'architecture ce trimestre. Le guide couvre l'architecture technique, les scénarios de mise en œuvre réels et un cadre de sélection structuré pour aider les équipes à aligner leur stratégie de contrôle d'accès réseau avec des résultats commerciaux mesurables.
🎧 Écouter ce guide
Voir la transcription
Résumé Exécutif
Le logiciel de Captive Portal se situe à l'intersection du contrôle d'accès réseau et de la capture de données de première partie. En 2026, le marché a largement dépassé les simples pages d'accueil : les plateformes leaders offrent désormais un déploiement basé sur le cloud, une gestion du consentement conforme au GDPR, une intégration CRM approfondie et des analyses de localisation en temps réel. Pour les opérateurs de sites et les équipes informatiques, le bon choix dépend de trois facteurs principaux : l'échelle et la complexité de votre environnement réseau, vos obligations de conformité et la mesure dans laquelle votre organisation a l'intention de monétiser les données WiFi des invités.
Ce guide évalue les six solutions de Captive Portal les plus largement déployées dans les segments entreprise et milieu de marché : Purple, Cisco Meraki, Cloud4Wi, IronWiFi, Cloudi-Fi et Beambox. Chaque plateforme est évaluée sur sa capacité d'authentification, sa gestion multi-sites, la profondeur de ses analyses, son écosystème d'intégration et sa préparation à la conformité. Pour les organisations des secteurs de l' hôtellerie , du commerce de détail , de la santé et du transport , nous associons chaque plateforme aux exigences opérationnelles spécifiques de ce secteur vertical. Le guide se termine par un cadre structuré de sélection de fournisseurs et deux études de cas de mise en œuvre détaillées.
En résumé pour le CTO : Si l'analyse et le ROI marketing sont vos objectifs principaux, Purple est en tête. Si vous êtes déjà dans l'écosystème Cisco, Meraki est la voie la moins résistante. Pour une gestion combinée de l'accès des invités et des employés sous un même parapluie de conformité, IronWiFi est le candidat le plus solide.
Qu'est-ce qu'un logiciel de Captive Portal ?
Un Captive Portal est un mécanisme de contrôle d'accès réseau qui intercepte la requête HTTP ou HTTPS initiale d'un appareil se connectant et la redirige vers une page d'accueil hébergée. L'utilisateur doit effectuer une action définie — accepter les conditions de service, soumettre une adresse e-mail, s'authentifier via une connexion sociale ou saisir un code de bon — avant que le réseau n'accorde un accès complet à Internet. Le comportement du protocole sous-jacent est standardisé dans le RFC 8952 , qui définit l'API Captive Portal et garantit que les systèmes d'exploitation modernes peuvent détecter et afficher correctement le portail.
Pour une explication technique détaillée du fonctionnement de l'interception, de la redirection et du flux d'authentification au niveau du protocole, consultez notre guide : Comment fonctionne un Captive Portal ? Plongée technique approfondie .
Au niveau de l'infrastructure, le logiciel de Captive Portal fonctionne selon l'un des trois modèles de déploiement. Dans un modèle hébergé dans le cloud, la page d'accueil et la logique d'authentification sont servies depuis l'infrastructure cloud du fournisseur, le point d'accès ou le contrôleur redirigeant les clients non authentifiés vers l'URL hébergée. Dans un modèle sur site, une appliance de passerelle dédiée ou une machine virtuelle se situe entre la couche du point d'accès et le routeur en amont, gérant tout le trafic de redirection et d'authentification localement. Dans un modèle intégré au contrôleur, le Captive Portal est une fonctionnalité native du contrôleur de réseau local sans fil (tel que Cisco Meraki ou Aruba), éliminant le besoin d'une plateforme distincte.
Le choix du modèle de déploiement a des implications directes sur la latence, la résilience, la résidence des données de conformité et le coût total de possession.
Architecture Technique
L'architecture d'un service de Captive Portal moderne basé sur le cloud implique plusieurs couches distinctes. En périphérie, les points d'accès WiFi diffusent un ou plusieurs SSID. Les clients non authentifiés sont placés dans un VLAN restreint avec un accès DNS et HTTP/HTTPS uniquement à la plage IP de la plateforme Captive Portal — c'est le jardin clos. Lorsque le système d'exploitation ou le navigateur du client tente d'accéder à Internet, le point d'accès ou le contrôleur intercepte la requête et émet une redirection HTTP 302 vers l'URL de la page d'accueil du portail.
La page d'accueil et le moteur d'authentification — hébergés dans le cloud du fournisseur — présentent l'interface de connexion personnalisée. Après une authentification réussie (OAuth social, soumission d'e-mail, OTP SMS ou validation de bon), la plateforme renvoie un signal d'autorisation au point d'accès ou au contrôleur via un message RADIUS Access-Accept ou un appel API, selon la méthode d'intégration. Le client est ensuite déplacé vers le VLAN authentifié et se voit accorder l'accès à Internet.
En aval du moteur d'authentification, la plateforme transmet les données d'identité capturées — adresses e-mail, attributs de profil social, enregistrements de consentement — aux systèmes intégrés : plateformes CRM (Salesforce, HubSpot, Mailchimp), outils d'automatisation marketing et tableaux de bord analytiques. Pour les déploiements d'entreprise, cette intégration est généralement gérée via une API REST ou un webhook, avec un mappage au niveau des champs configuré dans la console d'administration du portail.
Le protocole RADIUS (défini dans le RFC 2865) reste la méthode dominante pour communiquer les décisions d'authentification entre la plateforme Captive Portal et l'infrastructure réseau. Les plateformes qui prennent également en charge IEEE 802.1X (contrôle d'accès réseau basé sur les ports) peuvent étendre la même infrastructure pour gérer l'authentification WPA-Enterprise pour les appareils du personnel, éliminant ainsi le besoin d'un serveur RADIUS séparé.
Comparaison des Plateformes
Le tableau ci-dessous résume les principaux éléments différenciateurs des six plateformes évaluées dans ce guide.
| Plateforme | Modèle de Déploiement | Meilleur Secteur Vertical | Profondeur d'Analyse | GDPR/Conformité | Multi-Sites | API Ouverte | Prix Indicatif |
|---|---|---|---|---|---|---|---|
| Purple | Cloud SaaS | Hôtellerie, Commerce de détail, Stades, Transport | Avancé (fréquentation, temps de présence, cartes thermiques) | Complet (piste d'audit, gestion du consentement) | Oui (centralisé) | Oui (REST) | Personnalisé / par site |
| Cisco Meraki | Intégré au contrôleur | Entreprise, Santé, Éducation | Modéré | Solide (pile de conformité Cisco) | Oui (tableau de bord Meraki) | Partiel | Premium (matériel + licence) |
| Cloud4Wi | Cloud SaaS | Commerce de détail multi-sites, Entreprise | Avancé | Complet | Oui | Oui | Personnalisé / entreprise |
| IronWiFi | Cloud SaaS | Entreprise, Santé, Éducation | Modéré | Complet (SOC 2, GDPR, HIPAA) | Oui | Limité | SaaS par site |
| Cloudi-Fi | Cloud SaaS | Entreprise, Transport, Éducation | Avancé | Complet | Oui | Partiel | Personnalisé / entreprise |
| Beambox | Cloud SaaS | PME, Hôtellerie, Restauration | Basique | Partiel | Limité | Non | SaaS par site |
Purple
La plateforme Guest WiFi de Purple est la solution la plus performante en matière d'analyse dans cette comparaison. Son Captive Portal est la porte d'entrée d'un moteur d' analyse WiFi plus large qui suit les schémas de fréquentation, les temps de présence, les cartes thermiques par zone et la fréquence des visites répétées. Pour les grands sites — centres commerciaux, stades, aéroports et chaînes hôtelières — cela transforme le réseau WiFi d'un centre de coûts en une source d'intelligence opérationnelle.
Purple prend en charge toutes les méthodes d'authentification standard (connexion sociale via Google, Facebook et Apple ; capture d'e-mail ; SMS OTP ; clic direct) et fournit un constructeur de pages de portail captif par glisser-déposer avec un marquage blanc complet. La capture du consentement GDPR est intégrée au flux d'intégration, avec une piste d'audit complète stockée pour chaque enregistrement utilisateur. La plateforme s'intègre nativement avec Salesforce, HubSpot, Mailchimp et des dizaines d'autres outils marketing via l'API REST et des connecteurs pré-intégrés.
Pour les organisations gérant à la fois le WiFi invité et le WiFi du personnel, Purple s'intègre à Microsoft Entra ID, Google Workspace et Okta, permettant un accès limité dans le temps ou basé sur les rôles pour les sous-traitants et le personnel temporaire sans nécessiter de gestion manuelle des identifiants.
Cisco Meraki
La capacité de Captive Portal de Meraki est intégrée au tableau de bord Meraki et constitue le choix naturel pour les organisations utilisant déjà des points d'accès et des commutateurs Meraki. Il prend en charge le clic direct, les pages de connexion et l'intégration de la facturation. L'authentification RADIUS est gérée nativement, et la plateforme s'intègre à Cisco ISE pour une application avancée des politiques et le 802.1X.
La principale contrainte est le verrouillage de l'écosystème : le Captive Portal de Meraki est étroitement lié au matériel Meraki, et le modèle de licence (par appareil, annuel) en fait l'une des options les plus coûteuses par site. Les analyses sont modérées — suffisantes pour les rapports de base mais non comparables à Purple ou Cloud4Wi pour les cas d'utilisation d'intelligence de site.
Cloud4Wi
Cloud4Wi est un concurrent sérieux pour les déploiements de commerce de détail multi-sites et d'entreprise où la gestion centralisée et une expérience de marque cohérente sur des centaines de sites sont les exigences principales. Ses capacités d'analyse sont comparables à celles de Purple, avec une cartographie détaillée du parcours visiteur et une intégration avec les principales plateformes d'analyse du commerce de détail. Le prix entreprise de la plateforme reflète son positionnement au sommet du marché.
IronWiFi
Le positionnement différencié d'IronWiFi réside dans sa combinaison de Captive Portal et de RADIUS cloud au sein d'une seule plateforme. Pour les équipes informatiques qui doivent gérer le WiFi invité en parallèle du WPA-Enterprise (802.1X) pour les appareils du personnel, cela élimine la nécessité d'exécuter un serveur RADIUS séparé. La plateforme est certifiée SOC 2 Type II et compatible HIPAA, ce qui en fait la solution de conformité la plus solide de cette comparaison. Elle est compatible avec plus de 200 fournisseurs de points d'accès, ce qui représente un avantage significatif pour les organisations disposant de parcs matériels hétérogènes.
Cloudi-Fi
Cloudi-Fi cible les organisations du secteur privé et public ayant des exigences d'intégration complexes — gestion du BYOD, accès invité et segmentation des appareils IoT à partir d'une seule plateforme. Son architecture cloud-native prend en charge la gestion centralisée des politiques sur des sites distribués, et sa couche d'analyse fournit des données sur le comportement des visiteurs comparables à celles de Cloud4Wi.
Beambox
Beambox est le point d'entrée le plus accessible de cette comparaison. Il est conçu pour les déploiements sur site unique ou petits multi-sites dans l'hôtellerie et la restauration, avec un processus de configuration simple, une connexion sociale et une intégration de base du marketing par e-mail. Il ne convient pas aux déploiements d'entreprise nécessitant une gestion VLAN, une intégration 802.1X ou un audit de conformité rigoureux.
Cadre de Sélection des Fournisseurs
La matrice 2x2 ci-dessus positionne les plateformes sur deux axes : la profondeur d'analyse (horizontal) et la complexité de la sécurité d'entreprise (vertical). Ce cadre aide les équipes informatiques et opérationnelles à identifier rapidement le quadrant qui correspond à leurs exigences principales avant de contacter les fournisseurs.
Les organisations du quadrant Suite Entreprise Complète (analyse élevée, sécurité élevée) devraient évaluer Purple, Cloud4Wi et Cloudi-Fi. Celles du quadrant Priorité à la Sécurité (sécurité élevée, priorité d'analyse inférieure) devraient se concentrer sur Cisco Meraki, Aruba ClearPass et IronWiFi. Le quadrant Axé sur l'Analyse (analyse élevée, complexité de sécurité inférieure) est dominé par Purple et Cloud4Wi. Le quadrant Simple et Abordable est desservi par Beambox, Spotipo et des options open-source comme PacketFence.
Guide d'Implémentation
Le déploiement d'une solution de Captive Portal suit une séquence cohérente quelle que soit la plateforme. Les étapes ci-dessous représentent les meilleures pratiques, indépendantes du fournisseur, pour un déploiement de Captive Portal basé sur le cloud.
Étape 1 — Examen de l'Architecture Réseau. Avant toute configuration logicielle, cartographiez votre topologie réseau existante. Identifiez la structure VLAN, le fournisseur de points d'accès et la version du micrologiciel, et tle routeur ou le pare-feu en amont. Confirmez que vos points d'accès prennent en charge RADIUS CoA (Change of Authorisation) si vous avez besoin d'une application dynamique des politiques après l'authentification.
Étape 2 — Conception du SSID et du VLAN. Créez un SSID invité dédié, isolé de votre réseau d'entreprise via un VLAN distinct. Configurez le VLAN pour autoriser le trafic DNS et HTTP/HTTPS uniquement vers les plages IP de la plateforme de Captive Portal (le « walled garden »). Tout autre trafic provenant de clients non authentifiés doit être bloqué par le pare-feu.
Étape 3 — Configuration de la plateforme. Configurez la plateforme de Captive Portal avec votre secret partagé RADIUS et l'adresse IP ou le nom d'hôte de votre contrôleur de points d'accès. Créez la page de connexion (splash page) à l'aide de l'éditeur de la plateforme, en y intégrant les éléments de votre marque, la méthode d'authentification requise et la case à cocher de consentement GDPR avec un lien vers votre politique de confidentialité.
Étape 4 — Configuration de l'intégration. Configurez l'envoi des données vers votre CRM ou votre plateforme d'automatisation marketing. Mappez les champs capturés lors de la connexion (email, nom, statut de consentement) aux champs correspondants dans votre CRM. Configurez des notifications webhook pour les nouvelles inscriptions si une synchronisation des données en temps réel est nécessaire.
Étape 5 — Vérification de la conformité. Avant la mise en service, vérifiez que le mécanisme de recueil du consentement répond aux exigences de l'Article 7 du GDPR : le consentement doit être donné librement, spécifique, éclairé et univoque. La plateforme doit stocker un enregistrement horodaté de chaque événement de consentement. Confirmez que votre accord de traitement des données (DPA) avec le fournisseur de Captive Portal est en place.
Étape 6 — Test pilote et de charge. Déployez sur un seul site ou un sous-ensemble de points d'accès. Simulez des connexions concurrentes à la charge maximale attendue (utilisez des outils tels que iperf3 ou un appareil dédié de test de charge WiFi). Vérifiez que la latence d'authentification reste inférieure à 3 secondes à charge maximale, et que le serveur RADIUS répond en moins de 500ms.
Étape 7 — Déploiement et surveillance. Déployez sur les sites restants. Configurez des alertes pour les échecs d'authentification RADIUS, la disponibilité du portail et les erreurs d'envoi de données. Établissez une cadence de révision mensuelle des données analytiques pour vous assurer que l'investissement génère des résultats commerciaux mesurables.
Études de cas
Étude de cas 1 : Chaîne hôtelière de 350 chambres — Transformation du WiFi hôtelier
Un groupe hôtelier basé au Royaume-Uni, exploitant 12 établissements en Angleterre et en Écosse, utilisait une solution de Captive Portal sur site héritée qui ne fournissait aucune analyse et nécessitait la journalisation manuelle du consentement GDPR via des formulaires papier. L'équipe informatique gérait 12 configurations de portail distinctes sans visibilité centralisée.
Le groupe a déployé Purple sur l'ensemble des 12 établissements, intégrant le Captive Portal à leur infrastructure de points d'accès Aruba existante via RADIUS. La page de connexion (splash page) a été configurée pour la capture d'e-mails et le consentement GDPR explicite, avec des données automatiquement envoyées à Salesforce. Dans les 90 jours suivant le déploiement, le groupe avait capturé plus de 28 000 adresses e-mail d'invités vérifiées avec des enregistrements de consentement complets. L'équipe marketing a mené une campagne de réengagement après séjour qui a généré une augmentation de 12 % des réservations directes, réduisant les coûts de commission OTA d'environ 180 000 £ par an. L'équipe informatique a réduit la charge de gestion du portail d'environ 8 heures par semaine à moins d'une heure, les 12 sites étant gérés à partir d'un tableau de bord unique.
Pour en savoir plus sur le déploiement du WiFi invité dans les environnements hôteliers, consultez notre page dédiée à l'industrie hôtelière .
Étude de cas 2 : Chaîne de 45 magasins de détail — Analyse du trafic et intégration CRM
Un détaillant de mode de taille moyenne exploitant 45 magasins au Royaume-Uni et en Irlande avait besoin de comprendre le comportement des clients en magasin — plus précisément, comment le temps de présence dans différentes zones était corrélé aux taux de conversion. Leur WiFi invité existant ne fournissait aucune analyse au-delà des simples décomptes de connexions.
Le détaillant a déployé Cloud4Wi dans l'ensemble de ses 45 magasins, Purple ayant été évalué comme alternative. Cloud4Wi a été choisi en raison de son intégration native avec le CRM Salesforce existant du détaillant et de sa capacité d'analyse au niveau des zones. Le Captive Portal a été configuré avec la connexion sociale (Google et Apple) pour minimiser les frictions et maximiser les taux d'adhésion. En six mois, le détaillant avait mis en correspondance les données de temps de présence avec les données de conversion des ventes au niveau des zones, identifiant trois agencements de magasins sous-performants. La reconfiguration de ces agencements basée sur les données analytiques a produit une augmentation mesurable du taux de conversion de 8 % dans les zones concernées.
Pour les considérations de déploiement spécifiques au commerce de détail, consultez notre page dédiée à l'industrie du commerce de détail .
Bonnes pratiques
Les recommandations suivantes reflètent les meilleures pratiques, indépendantes des fournisseurs, pour les déploiements de Captive Portal dans les environnements d'entreprise.
Maintenez le flux d'authentification sur un seul écran. Chaque champ ou étape supplémentaire dans le processus de connexion réduit les taux d'adhésion. La recherche montre constamment qu'exiger plus qu'une adresse e-mail et une case à cocher de consentement réduit les taux d'achèvement de 20 à 40 %. Si vous avez besoin de données supplémentaires, collectez-les progressivement après la connexion initiale.
Segmentez correctement votre réseau dès le premier jour. Le WiFi invité doit être isolé de l'infrastructure d'entreprise. Il ne s'agit pas seulement d'une exigence de sécurité — c'est une exigence de conformité PCI DSS si votre réseau d'entreprise gère des données de cartes de paiement. Utilisez un VLAN dédié et assurez-vous que vos règles de pare-feu empêchent tout mouvement latéral depuis le segment invité.
Maintenez une piste d'audit de consentement conforme au GDPR. En vertu de l'Article 7 du GDPR, vous devez être en mesure de démontrer que le consentement a été obtenu. Votre plateforme de Captive Portal doit stocker un enregistrement horodaté de chaque événement de consentement, y compris la version de la politique de confidentialité présentée à ce moment-là. Des plateformes comme Purple et IronWiFi gèrent cela nativement ; sur des plateformes plus simples, vous devrez peut-être l'implémenter séparément.
Testez le basculement RADIUS. Si le service RADIUS de votre plateforme de Captive Portal est indisponible, qu'advient-il des clients qui se connectent ? Assurez-vous que la configuration de votre point d'accès définit un comportement de repli — soit refuser tout accès (fail-closed), soit accorder accès sans authentification (fail-open). Pour la plupart des environnements d'entreprise, le mode fail-closed est le comportement par défaut correct.
Examinez régulièrement la configuration de votre jardin clos (walled garden). Les fournisseurs de connexion sociale (Google, Facebook, Apple) modifient périodiquement les plages d'adresses IP et les domaines utilisés par leurs flux OAuth. Si ceux-ci ne sont pas inclus dans votre jardin clos, la connexion sociale échouera silencieusement pour les utilisateurs. Établissez un processus d'examen trimestriel pour les entrées du jardin clos.
Dépannage et atténuation des risques
Les modes de défaillance les plus courants dans les déploiements de Captive Portal, et leurs mesures d'atténuation, sont les suivants.
Le portail n'apparaît pas sur les appareils iOS ou Android. Les systèmes d'exploitation mobiles modernes utilisent un Captive Network Assistant (CNA) qui détecte les Captive Portal en effectuant une requête de sonde vers une URL connue. Si la sonde réussit (c'est-à-dire que l'appareil reçoit une réponse 200 alors qu'il attend une redirection 302), le CNA ne se déclenchera pas. Assurez-vous que la configuration de votre jardin clos intercepte correctement les URL de sonde d'Apple et de Google. Vérifiez également que votre configuration DNS redirige toutes les requêtes des clients non authentifiés vers l'IP du portail.
Problèmes d'interception HTTPS. Les navigateurs modernes appliquent le HSTS (HTTP Strict Transport Security) sur de nombreux domaines, ce qui empêche les redirections HTTP vers une page de démarrage de Captive Portal. Assurez-vous que votre plateforme de Captive Portal utilise un certificat SSL valide sur le domaine de sa page de démarrage, et que la redirection initiale se fait vers une URL HTTP que la plateforme met ensuite à niveau vers HTTPS. Tenter d'intercepter directement le trafic HTTPS déclenchera des avertissements de sécurité du navigateur.
Délais d'authentification RADIUS. Si le serveur RADIUS est géographiquement éloigné de vos points d'accès, la latence d'authentification peut dépasser les seuils acceptables. Pour les RADIUS basés sur le cloud, vérifiez que le fournisseur dispose d'un point de présence dans votre région. Pour les déploiements sur site, assurez-vous que le serveur RADIUS se trouve sur le même segment de réseau local que le contrôleur de point d'accès.
Données de consentement GDPR non synchronisées avec le CRM. Les échecs de livraison de webhook sont un problème d'intégration courant. Implémentez une file d'attente de lettres mortes ou un mécanisme de réessai côté réception, et configurez des alertes pour les livraisons de webhook échouées. Auditez l'intégration CRM mensuellement pour vérifier que les enregistrements de consentement sont correctement écrits.
ROI et impact commercial
L'analyse de rentabilisation pour l'investissement dans un logiciel de Captive Portal repose sur trois flux de valeur : l'acquisition de données de première partie, l'atténuation des risques de conformité et l'efficacité opérationnelle.
Les données de première partie sont de plus en plus précieuses à mesure que la dépréciation des cookies tiers réduit l'efficacité de la publicité numérique. Un Captive Portal qui capture des adresses e-mail vérifiées et consenties à grande échelle fournit un canal de marketing direct avec un ROI mesurable. Les références de l'industrie suggèrent qu'un Captive Portal bien configuré dans un lieu à forte affluence peut capturer 15 à 30 % des utilisateurs se connectant en tant que contacts marketing opt-in, en fonction de la friction du flux de connexion.
L'atténuation des risques de conformité est plus difficile à quantifier mais significative. Les amendes GDPR pour une gestion inadéquate du consentement peuvent atteindre 4 % du chiffre d'affaires annuel mondial. Pour une chaîne de vente au détail avec 100 millions de livres sterling de revenus annuels, cela représente une exposition potentielle de 4 millions de livres sterling. Une plateforme de Captive Portal avec gestion du consentement et pistes d'audit intégrées réduit directement cette exposition.
Les gains d'efficacité opérationnelle sont les plus visibles dans les déploiements multi-sites. La gestion centralisée des configurations de portail, des politiques utilisateur et des rapports d'analyse réduit considérablement les frais généraux informatiques par site. L'étude de cas hôtelière ci-dessus a démontré une réduction de 8 heures à moins d'une heure par semaine sur 12 sites — une économie annualisée équivalente à environ 0,2 ETP.
Pour une exploration détaillée de la manière dont la plateforme de Purple offre un ROI mesurable sur les déploiements de Guest WiFi, consultez les pages produits Guest WiFi et WiFi Analytics .
Lectures complémentaires
Pour les équipes évaluant des décisions d'architecture réseau plus larges en parallèle de leur déploiement de Captive Portal, les ressources suivantes sont pertinentes : Les avantages clés du SD-WAN pour les entreprises modernes explique comment le SD-WAN peut simplifier la gestion de réseau multi-sites et réduire la complexité du déploiement de solutions de Captive Portal centralisées sur des parcs distribués.
Termes clés et définitions
Captive Portal
A network access control mechanism that intercepts a connecting device's HTTP/HTTPS requests and redirects them to a hosted splash page, requiring the user to complete an authentication action before internet access is granted. Standardised in RFC 8952.
IT teams encounter this when configuring guest WiFi for any public-facing venue. The captive portal is the technical mechanism that enables both access control and data capture.
RADIUS (Remote Authentication Dial-In User Service)
A networking protocol defined in RFC 2865 that provides centralised Authentication, Authorisation, and Accounting (AAA) for network access. In captive portal deployments, the portal platform sends a RADIUS Access-Accept or Access-Reject message to the access point to grant or deny internet access.
Network architects encounter RADIUS when integrating a captive portal platform with access point controllers. The RADIUS shared secret and server IP address must be configured on both the portal platform and the access point controller.
Walled Garden
A set of IP addresses, domains, or URLs that unauthenticated clients are permitted to reach before completing the captive portal login flow. Typically includes the portal platform's own IP ranges, social login provider OAuth domains, and any content the operator wants to make freely accessible.
IT teams must configure the walled garden correctly to ensure that the captive portal login flow (including social OAuth) functions correctly. Incorrect walled garden configuration is the most common cause of social login failures.
IEEE 802.1X
An IEEE standard for port-based network access control that provides an authentication mechanism for devices wishing to attach to a LAN or WLAN. In WiFi deployments, 802.1X is used for WPA-Enterprise authentication, requiring each device to authenticate with a RADIUS server using EAP credentials.
Relevant when an organisation needs to manage both guest WiFi (captive portal) and secure staff WiFi (WPA-Enterprise) on the same infrastructure. Platforms like IronWiFi support both use cases from a single cloud RADIUS service.
GDPR Consent Audit Trail
A timestamped record of each instance in which a user provided consent for data collection and marketing communications, including the version of the privacy policy presented, the user identifier, and the IP address of the connecting device. Required under GDPR Article 7.
IT and legal teams must verify that their captive portal platform stores this data correctly before deployment. Inadequate consent records are a primary finding in GDPR enforcement actions against venue operators.
Splash Page
The branded web page presented to a connecting user by the captive portal system. Contains the authentication mechanism (login form, social login buttons, click-through), terms of service, privacy policy link, and GDPR consent checkbox.
Marketing teams typically own the design of the splash page; IT teams own the technical configuration. Alignment between both teams on the fields captured and the consent language is essential before deployment.
VLAN (Virtual Local Area Network)
A logical network segment created within a physical network infrastructure, used to isolate traffic between different user groups. In captive portal deployments, guest devices are placed in a dedicated guest VLAN, isolated from corporate and IoT VLANs.
Correct VLAN design is a prerequisite for any captive portal deployment. Guest VLAN isolation is a PCI DSS requirement for any venue where the corporate network handles payment card data.
RADIUS CoA (Change of Authorisation)
An extension to the RADIUS protocol (RFC 5176) that allows a RADIUS server to dynamically modify an active user session — for example, to change VLAN assignment, apply bandwidth limits, or disconnect a user — without requiring re-authentication.
Required for captive portal deployments where dynamic policy enforcement is needed post-authentication, such as applying different bandwidth tiers based on the user's subscription level or session duration.
OAuth 2.0 Social Login
An authorisation framework that allows users to authenticate with a captive portal using their existing Google, Facebook, or Apple account credentials, without creating a separate account. The portal receives a verified email address and basic profile data from the identity provider.
Social login is the highest-converting authentication method for captive portals in consumer-facing venues, as it eliminates the need for users to remember or type a password. It requires the identity provider's OAuth domains to be included in the walled garden.
PCI DSS (Payment Card Industry Data Security Standard)
A set of security standards designed to ensure that all companies that accept, process, store, or transmit credit card information maintain a secure environment. In the context of captive portals, PCI DSS requires that guest WiFi networks are fully isolated from any network segment that handles payment card data.
Relevant for any retail, hospitality, or venue operator that processes card payments on-site. Network segmentation between the guest WiFi VLAN and the payment network is a mandatory PCI DSS control.
Études de cas
A 350-room hotel group operating 12 properties needs to replace a legacy on-premises captive portal with a cloud-based solution. They need GDPR-compliant consent capture, CRM integration with Salesforce, and centralised management across all sites. Their existing infrastructure is Aruba access points running ArubaOS 8.x. What platform and deployment architecture should they use?
Deploy Purple as the cloud-based captive portal service, integrated with the existing Aruba infrastructure via RADIUS. Configuration steps: (1) Create a dedicated guest SSID on each Aruba controller, assigned to a guest VLAN isolated from the corporate network. (2) Configure the Aruba controller to redirect unauthenticated clients to Purple's hosted splash page URL, with the walled garden including Purple's IP ranges and the OAuth domains for social login providers. (3) In Purple's admin console, configure the RADIUS shared secret and the Aruba controller's IP address. (4) Build the splash page with email capture, GDPR consent checkbox, and a link to the hotel's privacy policy. (5) Configure the Salesforce integration in Purple, mapping email, first name, last name, and consent status to the corresponding Salesforce Lead fields. (6) Set up a webhook to notify the CRM of new registrations in real time. (7) Test the full flow on a single property before rolling out to the remaining 11. (8) Configure Purple's multi-site dashboard to provide centralised visibility across all 12 properties.
A 45-store fashion retailer needs to understand zone-level dwell time and its correlation with sales conversion. They have a heterogeneous access point estate (mix of Cisco Meraki and Ubiquiti UniFi across different stores) and an existing Salesforce CRM. They want to minimise login friction to maximise opt-in rates. Which captive portal platform should they deploy, and how should they handle the mixed hardware estate?
Deploy Purple or Cloud4Wi — both support the required analytics depth and Salesforce integration. For a mixed Meraki/UniFi estate: (1) For Meraki stores, configure the captive portal as an external splash page in the Meraki dashboard, pointing to the chosen platform's hosted URL. Meraki supports external splash pages natively via its API. (2) For UniFi stores, configure the UniFi controller's guest portal to redirect to the external splash page URL. UniFi supports external portal redirection in the guest network settings. (3) Configure social login (Google and Apple) as the primary authentication method to minimise friction — this reduces the login flow to a single tap on most mobile devices. (4) Ensure the walled garden on both controller types includes the OAuth domains for Google and Apple. (5) Map the captured social profile data (email, name) to Salesforce via the platform's native connector. (6) Use the platform's zone analytics feature to define zones within each store layout, correlating WiFi probe data with zone boundaries. (7) Export zone dwell time data monthly and join it with Salesforce sales data at the store level to identify conversion correlations.
A regional NHS trust needs to deploy guest WiFi across three hospital sites. The requirements are: HIPAA-equivalent compliance (NHS DSP Toolkit), strict network segmentation between guest and clinical VLANs, support for 802.1X for staff devices, and GDPR consent capture for patients. The existing infrastructure is a mix of Cisco and Aruba access points.
Deploy IronWiFi, which is the only platform in this comparison that natively combines captive portal for guests with cloud RADIUS for 802.1X staff authentication. Configuration: (1) Create three SSIDs per site: guest (captive portal), staff (WPA-Enterprise/802.1X), and IoT (MAC authentication). (2) Configure IronWiFi's cloud RADIUS as the authentication server for the staff SSID, integrating with the trust's Active Directory via LDAP or SAML. (3) Configure the guest SSID to redirect to IronWiFi's captive portal, with email capture and GDPR consent. (4) Ensure the guest VLAN has no routing to clinical VLANs — enforce this at the firewall, not just the VLAN configuration. (5) Configure IronWiFi's compliance reporting to generate monthly audit logs for DSP Toolkit evidence. (6) Test RADIUS failover to ensure that if the cloud RADIUS service is unavailable, staff devices fail closed (no access) rather than fail open.
Analyse de scénario
Q1. A conference centre hosting 50 events per year, with peak concurrent WiFi users of 3,000, needs to deploy a captive portal solution. The primary requirements are: branded splash page per event sponsor, GDPR consent capture, and basic analytics on session counts and peak usage. The existing infrastructure is Cisco Meraki. Should they use Meraki's built-in captive portal, or deploy a third-party platform?
💡 Astuce :Consider the per-event branding requirement and the analytics depth needed. Meraki's built-in portal supports external splash pages — this is a key capability to evaluate.
Afficher l'approche recommandée
The per-event sponsor branding requirement is the deciding factor. Meraki's built-in captive portal supports a single splash page configuration per SSID, which makes dynamic per-event branding operationally complex. A third-party platform like Purple or Cloud4Wi, configured as an external splash page in Meraki, allows the events team to switch splash page templates per event without IT intervention. The analytics requirement (session counts, peak usage) is basic and can be met by either Meraki's built-in reporting or the third-party platform. The recommended approach is to deploy Purple as an external splash page on the existing Meraki infrastructure, using Purple's template management to handle per-event branding. This preserves the existing Meraki investment while adding the operational flexibility required for a multi-event venue.
Q2. An IT manager at a 200-bed private hospital is evaluating captive portal software for patient guest WiFi. The hospital's legal team has flagged that the current setup — a simple click-through portal with no consent record — creates GDPR exposure. The hospital also needs to ensure that patient devices cannot reach clinical systems. Which platform should they deploy, and what are the three most critical configuration steps?
💡 Astuce :GDPR compliance and network segmentation are the two non-negotiable requirements. Consider which platforms have the strongest compliance posture and how VLAN isolation should be configured.
Afficher l'approche recommandée
Deploy IronWiFi for its HIPAA-ready compliance posture and SOC 2 Type II certification, which provides the strongest audit evidence for the legal team. The three most critical configuration steps are: (1) VLAN isolation — create a dedicated patient guest VLAN with firewall rules that explicitly deny all routing to clinical VLANs. This must be enforced at the firewall, not just via VLAN tagging. (2) GDPR consent capture — configure the splash page with an explicit, unchecked consent checkbox linked to the hospital's privacy policy. IronWiFi stores a timestamped consent record per user, which satisfies the GDPR Article 7 audit trail requirement. (3) RADIUS fail-closed — configure the access point to deny access if the RADIUS server is unreachable, preventing unauthenticated devices from gaining network access during a cloud outage.
Q3. A retail chain with 80 stores is currently using Beambox for guest WiFi. The marketing director wants to implement post-visit email campaigns triggered by in-store WiFi connection events, with personalisation based on visit frequency and dwell time. The IT director is concerned about the cost and complexity of migrating 80 stores. How should they approach the platform migration decision?
💡 Astuce :Evaluate whether Beambox can meet the marketing requirements before assuming migration is necessary. If migration is required, consider the phased approach and the total cost of ownership comparison.
Afficher l'approche recommandée
First, assess whether Beambox can meet the requirements: Beambox supports basic email marketing integration but does not provide dwell time analytics or visit frequency segmentation at the level required for personalised post-visit campaigns. Migration is therefore necessary. The recommended approach is a phased migration: (1) Select Purple or Cloud4Wi as the target platform — both support dwell time analytics, visit frequency segmentation, and direct integration with major email marketing platforms. (2) Pilot the new platform in 5-10 stores before committing to a full rollout. (3) Negotiate a parallel-run period with Beambox to avoid data gaps during migration. (4) Map the total cost of ownership: the new platform's per-location SaaS cost versus the projected revenue uplift from personalised campaigns. Industry benchmarks suggest that triggered post-visit email campaigns with visit-frequency personalisation generate 3-5x higher open rates than generic broadcast campaigns, providing a clear ROI justification for the migration cost.
