- Purple
- Multi-tenant WiFi: a complete guide
- Checklist pour choisir un fournisseur de WiFi en maison de retraite : résidents, visiteurs, personnel et filtres de protection
Checklist pour choisir un fournisseur de WiFi en maison de retraite : résidents, visiteurs, personnel et filtres de protection
Vous serez en mesure de définir, tester et contractualiser un fournisseur de WiFi pour maison de retraite capable d'exploiter quatre réseaux distincts pour les résidents, les visiteurs, le personnel et les dispositifs médicaux sur vos points d'accès existants. Vous pouvez également configurer des filtres de protection par réseau afin de protéger les adultes vulnérables dans le cadre du Mental Capacity Act 2005 sans bloquer les appels vidéo avec leurs familles.
Fait partie de notre série principale : WiFi multi-locataire : le guide complet →
- Que doit réellement fournir un fournisseur de WiFi pour maison de retraite ?
- Les 4 réseaux et leurs utilisateurs
- De quoi avez-vous besoin avant de commencer ?
- Comment configurer les réseaux des résidents, des visiteurs et du personnel ?
- Étape 1 : Attribuer à chaque résident un réseau privé sans mot de passe partagé
- Étape 2 : Proposer aux visiteurs une connexion simple dès l'entrée
- Étape 3 : Placer le personnel soignant et les dispositifs cliniques sur un réseau sécurisé
- Étape 4 : Définir des filtres de protection adaptés à chaque réseau
- Scénarios concrets
- Scénario concret 1 : une résidence avec services gérée par une collectivité locale
- Scénario concret 2 : un EHPAD disposant d'un café pour les familles et organisant une fête d'été
- Comment vérifier que tout fonctionne ?
- Quels sont les problèmes courants et comment les résoudre ?
- Les appareils des résidents se déconnectent après un changement de matériel
- Les enceintes connectées ne peuvent pas passer la page de connexion
- Un filtre bloque un appel vidéo familial
- Les répéteurs enfichables provoquent des coupures dans les chambres
- Les familles installent leur propre routeur dans la chambre d'un résident
- Le personnel intérimaire ne parvient pas à se connecter lors de sa première garde
- Que doit préciser le contrat concernant les heures d'assistance et le déploiement site par site ?
- Combien cela coûte-t-il, et quel est le retour sur investissement ?
- Foire aux questions
- Purple peut-il fonctionner sur les points d'accès déjà installés dans nos maisons de retraite ?
- Comment les résidents maintiennent-ils leurs appareils connectés sans partager de mot de passe ?
- Les filtres de protection vont-ils bloquer les appels vidéo des résidents avec leur famille ?
- Comment les données des visiteurs et des résidents sont-elles traitées au regard du UK GDPR ?
- Le personnel intérimaire peut-il utiliser le WiFi du personnel sans mot de passe partagé ?
- Combien de temps prend le déploiement sur l'ensemble d'un groupe d'établissements de soins ?
- Comment changer de fournisseur actuel de WiFi en établissement de soins ?

Un fournisseur de WiFi pour maison de retraite doit offrir quatre éléments essentiels : un réseau privé pour les appareils de chaque résident, une connexion simple pour les visiteurs dès l'entrée, un réseau basé sur l'identité pour le personnel soignant et les équipements cliniques, ainsi qu'un filtrage configuré par réseau qui protège les adultes vulnérables sans bloquer les appels vidéo avec leurs familles. Purple gère ces quatre fonctionnalités sur vos points d'accès existants.
Que doit réellement fournir un fournisseur de WiFi pour maison de retraite ?
Une maison de retraite réunit trois univers sous un même toit. C'est un lieu de vie pour les résidents, un lieu de travail pour le personnel soignant et un environnement clinique doté de ses propres équipements. Un mot de passe partagé unique ne peut pas répondre à ces trois usages en toute sécurité. Un bon fournisseur de WiFi pour maison de retraite les sépare et attribue à chacun les droits d'accès, la sécurité et le filtrage appropriés.
Le test est simple à définir : la tablette d'un résident doit pouvoir joindre sa fille sur WhatsApp un dimanche à 20 h. Un visiteur doit pouvoir se connecter en moins d'une minute à l'accueil. Une infirmière de nuit doit pouvoir ouvrir le dossier de soins informatisé sans saisir de mot de passe. Aucun de ces groupes ne doit avoir de visibilité sur les appareils ou le trafic des autres.
Les 4 réseaux et leurs utilisateurs
| Réseau | Utilisateurs | Mode de connexion | Politique de filtrage | Isolation |
|---|---|---|---|---|
| Résident | Résidents et appareils apportés par les familles : tablettes, smartphones, enceintes connectées, Smart TV | Clé individuelle par résident (iPSK), sans portail captif | Léger : contenus illicites, logiciels malveillants et phishing bloqués ; appels et streaming autorisés | Les appareils de chaque résident sont sur leur propre réseau privé |
| Visiteur | Famille, amis, professionnels en déplacement, intervenants extérieurs | Connexion par portail captif via QR code à l'accueil | Politique pour espace public : contenus pour adultes, contenus illicites et logiciels malveillants bloqués | VLAN distinct, aucun accès aux appareils des résidents ou du personnel |
| Personnel | Personnel soignant titulaire et intérimaire, cadres, équipes administratives | Connexion IEEE 802.1X avec leur identifiant professionnel | Politique d'entreprise définie par votre groupe de santé | VLAN distinct, accès révoqué au départ de l'employé |
| Équipements cliniques et du bâtiment | Tablettes de dossiers de soins, systèmes d'appel malade, surveillance acoustique, capteurs de chute | Clé spécifique à l'appareil (iPSK) lorsque le 802.1X n'est pas pris en charge | Liste d'autorisation : uniquement les services nécessaires à chaque appareil | VLAN dédié, isolé de tous les autres réseaux |
Un VLAN (réseau local virtuel) divise un réseau physique en réseaux logiques distincts. Le trafic de l'un ne peut pas atteindre l'autre sans une règle qui l'y autorise explicitement.
Purple assure cela grâce aux réseaux basés sur l'identité. Chaque connexion est associée à une personne ou à un équipement identifié, et non à un mot de passe partagé. Le WiFi multi-locataire WiFi couvre les résidents, le WiFi invité WiFi gère les visiteurs, le WiFi du personnel WiFi prend en charge vos équipes, et Shield applique le filtrage par réseau. Pour en savoir plus, découvrez l'approche de Purple pour le secteur de la santé.
De quoi avez-vous besoin avant de commencer ?
Rassemblez six éléments avant de vous adresser à un fournisseur. Ils détermineront votre calendrier bien plus que n'importe quelle liste de fonctionnalités.
- Un inventaire des points d'accès de chaque établissement. Notez la marque et le modèle sur chaque site. Purple fonctionne comme une surcouche cloud indépendante du matériel sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. La plupart des groupes de maisons de retraite peuvent conserver leurs équipements existants. Découvrez pourquoi votre prochaine mise à niveau du WiFi ne nécessite aucun nouveau matériel avant de valider un budget de remplacement.
- Un état des lieux de la couverture dans les chambres des résidents. Les portes coupe-feu, les murs intérieurs épais et les longs couloirs affaiblissent le signal dans les chambres. De nombreux établissements ont pallié cela avec des répéteurs enfichables, qui posent des problèmes avec l'authentification moderne. Comparez les options dans WiFi répéteur ou point d'accès : duquel avez-vous besoin ?.
- Votre fournisseur d'identité pour le personnel. Le WiFi du personnel s'authentifie auprès de Microsoft Entra ID, Okta ou Google Workspace. Confirmez qui gère les comptes et comment le personnel intérimaire en obtient un.
- Une liste des appareils par réseau. Listez les appareils des résidents apportés par les familles, ainsi que chaque appareil clinique et de gestion du bâtiment. Notez quels appareils cliniques prennent en charge 802.1X et lesquels n'acceptent qu'un mot de passe.
- Vos documents de conformité sur la protection des données. La connexion des visiteurs recueille des données personnelles, et les résidents sont souvent des personnes vulnérables. Réalisez une analyse d'impact relative à la protection des données (AIPD) conformément à l'article 35 du UK GDPR. Si vous soumettez le Data Security and Protection Toolkit (DSPT) du NHS, listez les justificatifs que vous devrez demander au fournisseur.
- Un responsable désigné pour le filtrage. Votre responsable de la protection des résidents et le directeur de l'établissement doivent valider ensemble chaque politique de filtrage. Cette décision revient aux personnes qui connaissent vos résidents, et non au prestataire informatique.
Comment configurer les réseaux des résidents, des visiteurs et du personnel ?
L'ordre ci-dessous convient à la plupart des groupes d'établissements de soins. Les résidents passent en priorité, car leurs appareils sont les plus complexes à migrer et les plus critiques en cas d'interruption de service.
Étape 1 : Attribuer à chaque résident un réseau privé sans mot de passe partagé
Utilisez l'iPSK, abréviation d'Identity Pre-Shared Key (clé prépartagée basée sur l'identité). Certains fournisseurs l'appellent PPSK (Private Pre-Shared Key). Chaque résident reçoit sa propre clé WiFi, et chaque appareil utilisant cette clé rejoint le réseau privé propre au résident. Purple appelle cela un Private Area Network (PAN) : une bulle de réseau privé entourant les appareils d'une même personne.
L'iPSK est particulièrement adaptée aux maisons de retraite pour trois raisons :
- Elle fonctionne avec les appareils qui ne peuvent pas utiliser de portail captif. Les enceintes connectées, les téléviseurs connectés et les tablettes simplifiées ne peuvent pas valider de page de connexion web. Ils acceptent tous un mot de passe WiFi standard.
- Les résidents ne partagent jamais de mot de passe. La clé d'un résident ne peut pas se connecter aux appareils d'un autre résident. La tablette d'un voisin ne peut pas voir l'enceinte connectée d'un autre résident.
- L'admission et le départ s'effectuent en une seule action. Délivrez la clé lors de l'emménagement du résident. Révoquez-la lorsqu'il quitte l'établissement ou décède, sans avoir à intervenir sur les appareils des autres résidents.
Imprimez la clé de chaque résident sur une carte destinée à sa famille. Lorsqu'une fille apporte une nouvelle tablette, elle saisit cette même clé une seule fois et l'appareil rejoint le réseau privé de sa mère.
Étape 2 : Proposer aux visiteurs une connexion simple dès l'entrée
Un portail captif est la page web qu'un visiteur voit avant d'accéder à Internet. Placez un code QR à la réception ainsi que dans le salon ou le café. Le code ouvre directement la page de connexion, évitant ainsi aux visiteurs de devoir chercher le nom d'un réseau.
Veillez à ce que le formulaire reste court : nom, adresse e-mail et acceptation de vos conditions générales. Utilisez des cases à cocher à consentement explicite pour toute inscription à une newsletter ou aux actualités des événements, décochées par défaut, afin de respecter les règles de consentement du UK GDPR. Définissez la durée de session en fonction de vos heures de visite, de sorte qu'une famille présente chaque après-midi n'ait pas à se reconnecter au milieu de sa visite.
Le Guest WiFi de Purple gère cette connexion, tout comme il le fait pour les visiteurs dans les hôtels. Plafonnez la bande passante par session de visiteur pour qu'un dimanche très fréquenté ne ralentisse jamais l'appel vidéo d'un résident.
Étape 3 : Placer le personnel soignant et les dispositifs cliniques sur un réseau sécurisé
L'IEEE 802.1X est la norme qui impose à chaque appareil de prouver son identité avant de se connecter. Un serveur RADIUS vérifie ces identifiants auprès de votre fournisseur d'identité. Purple fournit un service RADIUS dans le cloud, ce qui vous évite d'avoir à gérer un serveur physique dans chaque établissement.
Le personnel se connecte une seule fois à l'aide de ses identifiants professionnels issus de Microsoft Entra ID, Okta ou Google Workspace. Cela permet de gérer facilement les arrivées, mobilités et départs (JML). Un nouvel arrivant obtient son accès dès la création de son compte. Un collaborateur sur le départ perd son accès dès que son compte est désactivé. Plus personne n'a besoin de modifier un mot de passe affiché sur le mur de la salle de pause.
Le personnel intérimaire doit bénéficier du même traitement. Créez des comptes à durée limitée pour les intérimaires au sein de votre fournisseur d'identité. Leurs accès prennent fin avec la clôture du compte, et non lorsqu'une personne se rappelle de changer un mot de passe.
Les dispositifs cliniques ne peuvent souvent pas utiliser 802.1X. Attribuez à chaque type d'appareil sa propre clé iPSK sur son propre VLAN. Une télévision connectée compromise sur le réseau des résidents ne dispose ainsi d'aucun chemin d'accès vers un système d'appel infirmier.
Étape 4 : Définir des filtres de protection adaptés à chaque réseau
Le filtrage destiné aux adultes vulnérables diffère de celui destiné aux enfants. La loi Mental Capacity Act 2005 part du principe que les adultes ont la pleine capacité juridique. Elle exige également de privilégier l'option la moins restrictive. Un blocage généralisé sur le réseau d'un résident peut enfreindre ces principes et couper les résidents de leur famille.
Shield applique une politique distincte à chaque réseau. Prenez cette matrice comme point de départ, puis laissez votre responsable de la protection des personnes l'ajuster.
| Catégorie de contenu | Réseau résidents | Réseau visiteurs | Réseau personnel | Dispositifs cliniques |
|---|---|---|---|---|
| Contenu illicite | Bloquer | Bloquer | Bloquer | Bloquer |
| Logiciels malveillants et sites d'hameçonnage | Bloquer | Bloquer | Bloquer | Bloquer |
| Contenu pour adultes | Autoriser (chambre personnelle des résidents) | Bloquer | Bloquer | Bloquer |
| Jeux d'argent | Autoriser | Bloquer | Bloquer | Bloquer |
| Appels vidéo (WhatsApp, FaceTime, Zoom, Microsoft Teams) | Autoriser | Autoriser | Autoriser | Bloquer |
| Streaming (BBC iPlayer, YouTube) | Autoriser | Autoriser | Autoriser | Bloquer |
| Dossiers de soins et services d'appel infirmier | Non applicable | Non applicable | Autoriser | Liste d'autorisation uniquement |
Lorsqu'un résident nécessite une protection supplémentaire, par exemple en cas de risque avéré d'abus financier, consignez une décision prise dans son intérêt supérieur dans son plan de soins. Appliquez la restriction directement sur l'appareil de ce résident avec l'accord de sa famille. Une règle appliquée à l'ensemble du réseau ne doit pas pénaliser tous les autres résidents pour le risque associé à une seule personne.
Demandez à tout fournisseur si son filtrage bloque la liste d'URL de contenus pédopornographiques établie par l'Internet Watch Foundation. Exigez une réponse écrite dans votre appel d'offres.
Scénarios concrets
Les deux scénarios ci-dessous sont des exemples de planification. Les résultats découlent directement de la conception elle-même, ce qui vous permet de mesurer des résultats identiques dans vos propres établissements.
Scénario concret 1 : une résidence avec services gérée par une collectivité locale
Situation. Une collectivité locale gère une structure d'habitat inclusif comprenant 24 appartements et un salon partagé. Résidents, personnel et visiteurs utilisent tous un seul et même mot de passe. Lorsqu'un agent d'accompagnement est parti, la structure a changé le mot de passe. Les tablettes et enceintes connectées de tous les résidents se sont déconnectées, et trois résidents ont manqué des appels avec leur famille ce soir-là.
Ce qui a été mis en place. La structure a migré les résidents vers le WiFi multi-locataire WiFi avec une clé iPSK par appartement. Le personnel a été basculé sur 802.1X via Microsoft Entra ID. Les visiteurs ont été orientés vers un portail captif accessible par code QR à l'entrée. Shield a appliqué les politiques pour résidents, visiteurs et personnel décrites ci-dessus.
Résultat mesurable. Le nombre de mots de passe partagés est passé de un, connu de tous, à zéro. Le départ suivant d'un membre du personnel s'est traduit par une perte d'accès immédiate dès la désactivation de son compte. Aucun appareil de résident n'a eu besoin d'être reconfiguré. Le WiFi de cet habitat inclusif offre désormais à chaque locataire l'isolation à laquelle il s'attendrait dans son propre appartement.
Scénario concret 2 : un EHPAD disposant d'un café pour les familles et organisant une fête d'été
Situation. Un EHPAD de 70 lits gère un café ouvert aux familles et organise une fête d'été rassemblant environ 150 personnes. Le mot de passe du personnel avait été communiqué aux visiteurs à l'accueil. Le jour de la fête, le réseau a ralenti et le personnel soignant a rencontré des difficultés pour mettre à jour les dossiers de soins numériques.
Ce qui a été mis en place. L'établissement a basculé les visiteurs sur le WiFi invité WiFi, grâce à des codes QR à l'accueil, au café et sur la signalétique de la fête. Il a plafonné la bande passante par session visiteur et appliqué la politique de Shield pour les espaces publics. Les appareils du personnel et les dispositifs cliniques ont été déplacés sur leurs propres VLAN avec 802.1X et des clés spécifiques à chaque appareil.
Résultat mesurable. Le mot de passe du personnel a cessé de circuler auprès des visiteurs. Le trafic lié à la fête est resté isolé sur le réseau visiteurs, à l'écart des dispositifs cliniques. La direction de l'établissement consulte désormais les connexions mensuelles des visiteurs dans WiFi Analytics et s'en sert pour planifier les effectifs lors des jours de forte affluence.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.
Comment vérifier que tout fonctionne ?
Effectuez un test de recette dans l'établissement pilote avant toute validation finale. Réalisez-le en soirée, au moment où les résidents passent la plupart de leurs appels à leurs proches.
- Connexion des résidents. Connectez une tablette et une enceinte connectée avec la clé d'un résident dans sa chambre. Déplacez la tablette jusqu'au salon puis revenez. Elle doit rester connectée au même réseau privé tout au long du trajet.
- Isolation des résidents. À partir de la clé d'un deuxième résident, essayez de détecter l'enceinte connectée du premier résident. Elle ne doit pas apparaître.
- Connexion des visiteurs. Scannez le code QR de l'accueil sur un iPhone et un téléphone Android. Chronométrez l'opération. Les visiteurs doivent être en ligne en moins d'une minute.
- Arrivées et départs du personnel. Créez un compte de test, connectez-vous, puis désactivez-le. L'appareil doit perdre l'accès sans que personne n'ait à intervenir sur les points d'accès.
- Isolation clinique. Depuis les réseaux visiteurs et résidents, tentez d'accéder à une unité d'appel infirmier. Les deux tentatives doivent échouer.
- Filtrage. Sur chaque réseau, testez une catégorie bloquée et une catégorie autorisée. Passez un appel vidéo WhatsApp et un appel FaceTime depuis le réseau des résidents.
- Couverture. Mesurez le signal dans les cinq chambres les plus éloignées d'un point d'accès, avec les portes coupe-feu fermées.
Quels sont les problèmes courants et comment les résoudre ?
Les appareils des résidents se déconnectent après un changement de matériel
Les appareils plus anciens rencontrent parfois des difficultés lorsqu'un réseau passe au WPA3 ou au 5 GHz uniquement. Conservez sur le réseau des résidents des paramètres que ces appareils prennent en charge. Prévoyez le WPA3 en priorité pour les réseaux du personnel et cliniques.
Les enceintes connectées ne peuvent pas passer la page de connexion
Quelqu'un a connecté les appareils des résidents sur le portail captif des visiteurs. Basculez-les sur la clé iPSK du résident. Les portails captifs s'adressent aux personnes disposant d'un navigateur, pas aux enceintes ni aux téléviseurs.
Un filtre bloque un appel vidéo familial
Une catégorie trop large, comme « réseaux sociaux », a bloqué une application d'appel. Autorisez explicitement les services d'appel spécifiques sur les réseaux des résidents et des visiteurs. Testez à nouveau après chaque modification du filtrage.
Les répéteurs enfichables provoquent des coupures dans les chambres
Les répéteurs rediffusent le signal et gèrent souvent mal les clés par appareil ainsi que 802.1X. Remplacez-les par des points d'accès correctement positionnés. Si vous renouvelez de toute façon votre matériel, l'article WiFi 6 (802.11ax) expliqué détaille les gains de capacité dans les salons très fréquentés.
Les familles installent leur propre routeur dans la chambre d'un résident
Un deuxième routeur engendre des interférences et une faille de sécurité. Montrez à la famille que le réseau privé du résident lui offre déjà sa propre connexion sécurisée. Convenez ensuite avec elle de son retrait.
Le personnel intérimaire ne parvient pas à se connecter lors de sa première garde
Leur compte n'a pas été créé à temps. Intégrez la création de compte pour les intérimaires à votre processus de réservation, avec un responsable désigné dans chaque établissement.
Que doit préciser le contrat concernant les heures d'assistance et le déploiement site par site ?
Les soins se poursuivent 24 h/24, votre contrat doit donc en faire autant. Utilisez ce tableau comme liste de contrôle pour vos clauses.
| Clause | Ce qu'il faut demander | Pourquoi c'est important en maison de retraite |
|---|---|---|
| Heures d'assistance | Assistance 24 h/24 et 7 j/7 en cas d'interruption de service sur les réseaux résidents, personnel ou cliniques | Les résidents appellent leur famille le soir ; le personnel de nuit a besoin des dossiers de soins à 3 h du matin |
| Niveaux de gravité | Objectifs écrits de prise en charge et de résolution en heures pour chaque niveau de gravité | Transforme un simple « nous allons nous en occuper » en un engagement que vous pouvez faire appliquer |
| Disponibilité de la plateforme | Un pourcentage de temps de fonctionnement garanti dans le contrat ; celui de Purple est de 99,999 % | Chaque heure d'interruption représente un appel manqué ou une note de soin retardée |
| Plan de déploiement | Un établissement pilote, puis des vagues avec une date de mise en service définie par site | Vous permet de valider la conception avant qu'elle ne soit étendue à chaque établissement |
| Matériel pris en charge | Une liste précise des modèles de points d'accès pris en charge pour chaque site | Évite les mauvaises surprises financières concernant le matériel au milieu du déploiement |
| Protection des données | Accord de traitement des données conforme à l'article 28 du UK GDPR et emplacement précis des données | Requis lorsqu'un prestataire traite des données de visiteurs et de résidents pour votre compte |
| Certifications | Certificats ISO 27001 et Cyber Essentials en cours de validité | Éléments de preuve pour vos soumissions AIPD et DSPT |
| Modifications de filtrage | Un délai d'exécution défini pour les changements de politique liés à la protection des personnes vulnérables | Une décision de protection ne doit pas attendre dans une file d'attente générale de tickets |
| Réversibilité | Exportation de la configuration et des données des visiteurs dans un format standard | Vous garantit la liberté de changer de prestataire ultérieurement |
Déployez site par site. Commencez par un établissement doté d'une équipe de direction coopérative et d'un bâtiment représentatif. Tirez les enseignements du projet pilote pour apporter les corrections nécessaires, puis progressez par vagues de trois ou quatre établissements. Si vous remplacez un fournisseur actuel de WiFi en maison de retraite, suivez changer de fournisseur de WiFi invité : liste de contrôle pour la migration sur des sites multiples.
Combien cela coûte-t-il, et quel est le retour sur investissement ?
Quatre facteurs déterminent le coût : le nombre d'établissements, la formule choisie, les modules complémentaires et les éventuels déficits d'équipements matériels. Purple propose trois formules : Connect, Capture et Engage. Shield est un module complémentaire dédié au filtrage. Dans la mesure où Purple se superpose à vos points d'accès existants, l'essentiel du travail consiste en de la configuration plutôt qu'en de l'installation.
Votre audit matériel détermine le reste. Un établissement disposant d'une bonne couverture de points d'accès ne nécessite aucune dépense d'investissement (CapEx). Un établissement dépendant de répéteurs nécessite des points d'accès dans les pièces les moins bien couvertes.
Le retour sur investissement se manifeste à trois niveaux :
- Gain de temps pour le personnel. Les changements de mots de passe partagés prennent fin. Imaginez un établissement comptant 40 appareils de résidents et un changement de mot de passe après chaque départ d'un membre du personnel. Resaisir les identifiants sur chaque appareil mobilise des heures de travail des soignants, que iPSK et 802.1X permettent d'éliminer.
- Preuves en matière de protection des personnes. Vous pouvez présenter à un inspecteur une politique écrite de filtrage par réseau, validée par votre responsable de la protection des personnes. Vous pouvez également montrer qui a accédé au réseau du personnel, et à quel moment.
- Bien-être des résidents et des familles. Un réseau WiFi fiable en établissement résidentiel permet aux résidents de rester en contact avec leurs proches. Les données de connexion des visiteurs dans WiFi Analytics indiquent les établissements les plus visités par les familles, ainsi que les périodes de visite.
Purple est déployé sur plus de 80 000 sites actifs dans plus de 90 pays et gère 500 millions d'utilisateurs et de connexions par an, selon les données internes de Purple. La plateforme est certifiée ISO 27001, GDPR, CCPA, Cyber Essentials et B Corp.
Foire aux questions
Purple peut-il fonctionner sur les points d'accès déjà installés dans nos maisons de retraite ?
Oui, Purple fonctionne comme une superposition cloud sur vos points d'accès existants. Les fournisseurs compatibles incluent Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous conservez votre matériel et y ajoutez des réseaux pour les résidents, les visiteurs et le personnel. Un audit de couverture peut néanmoins révéler un signal faible dans certaines chambres. Le cas échéant, vous ajoutez simplement des points d'accès dans ces pièces plutôt que de remplacer l'ensemble du réseau.
Comment les résidents maintiennent-ils leurs appareils connectés sans partager de mot de passe ?
Chaque résident reçoit sa propre clé WiFi via iPSK, ce qui connecte tous ses appareils à un réseau privé. Les familles saisissent la clé une seule fois sur n'importe quelle tablette, enceinte connectée ou télévision. Aucun résident ne partage jamais son mot de passe avec un autre, et aucun voisin ne peut voir ses appareils. Lorsqu'un résident s'en va, vous révoquez simplement sa clé. Les appareils de tous les autres résidents restent connectés sans aucune modification.
Les filtres de protection vont-ils bloquer les appels vidéo des résidents avec leur famille ?
Non, pas lorsque le filtrage est configuré par réseau. Shield applique une politique allégée au réseau des résidents. Elle bloque les contenus illégaux, les logiciels malveillants et le phishing tout en autorisant WhatsApp, FaceTime, Zoom et Microsoft Teams. Les réseaux des visiteurs et du personnel font l'objet de politiques plus strictes. Si un résident nécessite une protection supplémentaire, consignez une décision prise dans son intérêt supérieur (conformément à la législation en vigueur). Appliquez ensuite la restriction directement sur son appareil.
Comment les données des visiteurs et des résidents sont-elles traitées au regard du UK GDPR ?
Purple est conforme au GDPR et possède les certifications ISO 27001 et Cyber Essentials. Les visiteurs donnent leur consentement au moyen de cases d'acceptation éclairée, décochées par défaut. Votre contrat doit inclure un accord de traitement des données en vertu de l'article 28 du UK GDPR. Vous devez également réaliser une AIPD, car les résidents sont des adultes vulnérables. Si vous soumettez le DSPT du NHS, demandez à Purple les attestations de conformité nécessaires.
Le personnel intérimaire peut-il utiliser le WiFi du personnel sans mot de passe partagé ?
Oui, le personnel intérimaire se connecte avec son propre compte temporaire via Microsoft Entra ID, Okta ou Google Workspace. Le WiFi du personnel les authentifie via l'IEEE 802.1X et le RADIUS cloud de Purple. Leur accès prend fin dès que le compte expire ou est désactivé. Personne n'a besoin de modifier un mot de passe ni de reconnecter d'autres appareils. Intégrez la création de compte à votre processus de réservation des intérimaires, afin que l'accès soit prêt avant leur première mission.
Combien de temps prend le déploiement sur l'ensemble d'un groupe d'établissements de soins ?
La durée du déploiement dépend principalement de la configuration et de l'audit de votre matériel, et non de l'installation physique. Purple s'intègre aux points d'accès existants : les établissements bénéficiant déjà d'une bonne couverture n'ont donc besoin d'aucun nouvel équipement. Commencez par un établissement pilote et réalisez le test de recette complet, y compris les appels vidéo en soirée. Déployez ensuite par vagues de trois ou quatre sites. Fixez une date de mise en service précise pour chaque site dans votre contrat.
Comment changer de fournisseur actuel de WiFi en établissement de soins ?
Vous effectuez la transition site par site, en faisant fonctionner l'ancien et le nouveau réseau en parallèle lors de chaque bascule. Commencez par un inventaire des points d'accès, des noms de réseau et des appareils des résidents dans chaque établissement. Distribuez les clés résidentielles avant la bascule, afin que les familles puissent reconnecter les appareils en une seule visite. Migrez le personnel vers 802.1X, puis supprimez les mots de passe partagés. La checklist de migration multisite de Purple détaille chaque étape dans l'ordre.
Définitions clés
iPSK (clé prépartagée basée sur l'identité)
Une variante par identité de la clé prépartagée WPA2/WPA3-Personal définie par la norme IEEE 802.11, où chaque résident ou type d'appareil reçoit sa propre phrase secrète. Certains fournisseurs l'appellent PPSK (clé prépartagée privée). Cette clé associe l'appareil qui se connecte à un réseau privé spécifique ou à un VLAN.
Vous y êtes confronté lors de la connexion des enceintes connectées, téléviseurs et tablettes des résidents qui ne peuvent pas effectuer de connexion via une interface Web. Cela vous permet de révoquer la clé d'un résident à son départ sans devoir reconfigurer les appareils de tous les autres.
Réseau privé personnel (PAN)
Le terme employé par Purple pour désigner la bulle de réseau privé créée autour des appareils d'un résident grâce à sa clé iPSK. Les appareils partageant cette clé peuvent communiquer entre eux ; les appareils utilisant les clés d'autres résidents ne le peuvent pas.
Il s'agit du test d'isolation de votre liste de contrôle de recette : la clé d'un deuxième résident ne doit jamais pouvoir détecter l'enceinte connectée du premier.
VLAN (réseau local virtuel)
Un segment de réseau logique défini par la norme IEEE 802.1Q, qui étiquette les trames pour qu'un réseau physique unique prenne en charge plusieurs réseaux distincts. Le trafic ne peut pas transiter d'un VLAN à l'autre sans une règle l'y autorisant.
Vous isolez les visiteurs, le personnel et les dispositifs médicaux sur des VLAN distincts, afin qu'un téléviseur connecté compromis ne dispose d'aucune passerelle vers une unité d'appel infirmier.
Portail captif
Une page Web qui intercepte le trafic HTTP d'une nouvelle connexion et exige une authentification ou l'acceptation de conditions générales avant d'accorder l'accès à Internet. Elle nécessite un appareil équipé d'un navigateur.
Vous l'utilisez pour les visiteurs via un code QR à l'accueil, et vous en excluez les enceintes et téléviseurs des résidents qui ne peuvent pas interagir avec cette page.
IEEE 802.1X
La norme IEEE pour le contrôle d'accès au réseau basé sur les ports. Elle achemine les échanges EAP (Extensible Authentication Protocol) entre l'appareil, le point d'accès et un serveur d'authentification, afin que chaque appareil prouve son identité avant de se connecter.
Vous le déployez sur le réseau du personnel pour que les soignants et les intérimaires s'authentifient avec leur identité professionnelle, et vous vérifiez quels dispositifs médicaux le prennent en charge avant d'opter plutôt pour iPSK.
RADIUS
Remote Authentication Dial-In User Service, défini dans la RFC 2865 de l'IETF. Il s'agit du protocole utilisé par le point d'accès pour envoyer les identifiants 802.1X à un serveur d'authentification, qui les vérifie auprès du fournisseur d'identité.
Purple fournit RADIUS dans le cloud, vous évitant ainsi d'exécuter un serveur d'authentification dans chaque établissement.
Arrivées, mobilités et départs (JML)
Le processus de cycle de vie des comptes dans un fournisseur d'identité tel que Microsoft Entra ID, Okta ou Google Workspace. L'accès au réseau suit le compte : créé pour les arrivées, modifié pour les mobilités, désactivé pour les départs.
Ce processus remplace le mot de passe partagé par le personnel, de sorte qu'un collaborateur partant perd son accès WiFi dès que son compte est désactivé, sans que personne n'ait à reconfigurer les appareils.
Analyse d'impact relative à la protection des données (AIPD)
Une analyse requise par l'article 35 du UK GDPR lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Elle décrit le traitement, évalue sa nécessité et ses risques, et consigne les mesures d'atténuation.
Vous en réalisez une car la connexion des visiteurs recueille des données personnelles et les résidents sont souvent des adultes vulnérables ; les certifications des fournisseurs telles que ISO 27001 font partie des éléments de preuve.
Accord de traitement des données (article 28 du UK GDPR)
Le contrat requis par l'article 28 du UK GDPR entre un responsable du traitement et un sous-traitant. Il définit l'objet, la durée, la nature et la finalité du traitement, ainsi que les obligations du sous-traitant en matière de sécurité et de sous-traitance ultérieure.
Votre contrat avec un fournisseur de WiFi pour maisons de retraite en exige un, avec une localisation précise des données, car le fournisseur traite les données des visiteurs et des résidents pour votre compte.
Loi sur la capacité mentale de 2005 (Mental Capacity Act 2005)
La loi d'Angleterre et du pays de Galles qui présume que les adultes sont capables, sauf preuve du contraire, et exige que les décisions prises pour une personne dépourvue de capacité le soient dans son intérêt supérieur et selon l'option la moins restrictive.
C'est la raison pour laquelle vous évitez les blocages généralisés sur le réseau des résidents et appliquez des restrictions individuelles sur l'appareil propre d'un résident, consignées au titre d'une décision prise dans son intérêt supérieur.
NHS Boîte à outils sur la sécurité et la protection des données (DSPT)
L'auto-évaluation en ligne du NHS que les organisations ayant accès aux données et systèmes de santé du NHS remplissent chaque année pour démontrer qu'elles respectent les normes de sécurité des données du National Data Guardian.
Si vous le soumettez, listez les justificatifs nécessaires auprès de votre fournisseur de WiFi, comme des certificats ISO 27001 et Cyber Essentials en cours de validité.
Liste d'URL de l'Internet Watch Foundation (IWF)
Une liste d'adresses web hébergeant des contenus pédopornographiques, gérée par l'Internet Watch Foundation et fournie aux prestataires de filtrage pour blocage.
Vous devez demander par écrit à chaque fournisseur, dans le cadre de votre appel d'offres, si sa solution de filtrage bloque cette liste.
Exemples concrets
Une résidence avec services gérée par la municipalité, comptant 24 appartements et un salon commun, utilisait un mot de passe unique pour les résidents, le personnel et les visiteurs. Lorsqu'un intervenant social a quitté son poste, la résidence a changé le mot de passe : toutes les tablettes et enceintes connectées des résidents se sont déconnectées, et trois d'entre eux ont manqué les appels de leurs familles ce soir-là. Comment cette infrastructure devrait-elle être repensée ?
La résidence a migré les résidents vers un WiFi multi-locataire avec une clé iPSK par logement, afin que les appareils de chaque locataire se trouvent sur leur propre réseau privé. Le personnel est passé au protocole IEEE 802.1X avec Microsoft Entra ID, associant ainsi les accès à leurs comptes professionnels. Les visiteurs ont été dirigés vers un portail captif accessible par code QR à l'entrée. Shield a appliqué des politiques de filtrage distinctes pour les résidents, les visiteurs et le personnel. Le nombre de mots de passe partagés, connus de tous, est passé de un à zéro. Lors du départ du membre du personnel suivant, son accès a été coupé dès la désactivation de son compte, sans qu'aucun appareil de résident n'ait besoin d'être reconfiguré. Chaque locataire bénéficie désormais de l'isolation qu'il attendrait dans son propre appartement.
Une maison de retraite médicalisée de 70 lits gère un café des familles et organise une kermesse estivale réunissant environ 150 personnes. Les visiteurs recevaient le mot de passe du personnel à l'accueil et, le jour de la fête, le réseau a ralenti pendant que le personnel soignant peinait à mettre à jour les dossiers de soins informatisés. Que devrait modifier l'établissement ?
L'établissement a basculé les visiteurs sur un WiFi invité, avec des codes QR à l'accueil, au café et sur la signalétique de la kermesse. Il a plafonné la bande passante par session visiteur et appliqué la politique d'espaces publics de Shield. Le personnel a été migré vers son propre VLAN avec 802.1X, et les dispositifs médicaux vers leur propre VLAN avec des clés iPSK spécifiques à chaque appareil. Le mot de passe du personnel a cessé de circuler parmi les visiteurs. Le trafic de la kermesse est resté confiné au réseau visiteurs, à l'écart des dispositifs médicaux, évitant ainsi que les mises à jour des dossiers de soins n'entrent en concurrence avec les invités. La direction de l'établissement consulte désormais les connexions mensuelles des visiteurs dans WiFi Analytics et les utilise pour planifier les effectifs lors des journées de forte affluence.
Questions fréquentes
Purple peut-il fonctionner sur les points d'accès déjà installés dans nos maisons de retraite ?
Oui, Purple fonctionne comme une surcouche cloud sur vos points d'accès existants. Les fournisseurs pris en charge incluent Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous conservez votre matériel et ajoutez par-dessus des réseaux pour les résidents, les visiteurs et le personnel. Un audit peut toutefois révéler une couverture faible dans certaines chambres. Dans ce cas, vous ajoutez des points d'accès dans ces pièces plutôt que de remplacer l'ensemble du réseau.
Comment les résidents gardent-ils leurs appareils connectés sans partager de mot de passe ?
Chaque résident reçoit sa propre clé WiFi via iPSK, ce qui place tous ses appareils sur un réseau privé. Les familles saisissent la clé une seule fois sur n'importe quelle tablette, enceinte connectée ou télévision. Aucun résident ne partage jamais de mot de passe avec un autre, et aucun voisin ne peut voir ses appareils. Lorsqu'un résident s'en va, vous révoquez cette seule clé. Les appareils de tous les autres résidents restent connectés sans aucun changement.
Les filtres de protection vont-ils bloquer les appels vidéo des résidents avec leur famille ?
Non, pas lorsque le filtrage est configuré par réseau. Shield applique une politique souple au réseau des résidents. Il bloque les contenus illégaux, les logiciels malveillants et le phishing tout en autorisant WhatsApp, FaceTime, Zoom et Microsoft Teams. Les réseaux des visiteurs et du personnel bénéficient de politiques plus strictes. Si un résident a besoin d'une protection supplémentaire, consignez une décision prise dans son intérêt supérieur dans le cadre du Mental Capacity Act 2005. Appliquez ensuite la restriction sur son propre appareil.
Comment les données des visiteurs et des résidents sont-elles traitées conformément au UK GDPR ?
Purple est conforme au GDPR et détient les certifications ISO 27001 et Cyber Essentials. Les visiteurs donnent leur consentement par le biais d'options d'adhésion explicites et décochées par défaut. Votre contrat doit inclure un accord de traitement des données en vertu de l'article 28 du UK GDPR. Vous devez également réaliser une AIPD, car les résidents sont des adultes vulnérables. Si vous soumettez le DSPT du NHS, demandez à Purple les justificatifs de certification nécessaires.
Le personnel intérimaire peut-il utiliser le réseau du personnel sans mot de passe partagé ?
Oui, le personnel intérimaire se connecte avec son propre compte temporaire depuis Microsoft Entra ID, Okta ou Google Workspace. Le WiFi du personnel WiFi les authentifie via IEEE 802.1X et le RADIUS cloud de Purple. Leur accès prend fin lorsque le compte expire ou est désactivé. Personne n'a besoin de changer de mot de passe ni de reconnecter d'autres appareils. Intégrez la création de compte à votre processus de réservation d'intérimaires afin que l'accès soit prêt avant la première prise de poste.
Combien de temps prend un déploiement sur l'ensemble d'un groupe d'établissements de soins ?
La durée du déploiement dépend principalement de la configuration et de l'audit de votre matériel, et non de l'installation. Purple se superpose aux points d'accès existants, de sorte que les établissements bénéficiant d'une bonne couverture n'ont besoin d'aucun nouvel équipement. Commencez par un établissement pilote et effectuez le test de recette complet, y compris les appels vidéo en soirée. Déployez ensuite par vagues de trois ou quatre établissements. Inscrivez une date précise de mise en service pour chaque site dans votre contrat.
Comment changer de fournisseur de WiFi pour nos maisons de retraite ?
Vous effectuez la transition site par site, en faisant fonctionner l'ancien et le nouveau réseau en parallèle lors de chaque bascule. Commencez par un inventaire des points d'accès, des noms de réseau et des appareils des résidents dans chaque établissement. Distribuez les clés des résidents avant la bascule, afin que les familles puissent reconnecter les appareils en une seule visite. Migrez le personnel vers 802.1X, puis supprimez les mots de passe partagés. La checklist de migration multisite de Purple détaille chaque étape dans l'ordre.
Continuer la lecture de cette série
Fournisseurs de résidences hôtelières WiFi : courts séjours, longs séjours et équipements d'entretien
Vous serez en mesure de décider sur quel réseau chaque réservation d'appartement avec services hôteliers doit aboutir, d'un séjour de loisirs de deux nuits à une relocalisation de trois mois. Vous pourrez également définir la façon dont un fournisseur gère la connexion pour les courts séjours, les clés d'appartement pour les longs séjours et un réseau distinct d'équipements d'entretien sur vos points d'accès existants, les clés étant gérées par votre PMS.
Pourquoi le WiFi pour invités de type hôtelier échoue dans les bâtiments résidentiels
Vous serez en mesure de diagnostiquer pourquoi les résidents des immeubles BTR, des résidences étudiantes et des MDU signalent constamment des pannes WiFi, et de choisir le modèle d'authentification qui les résout. La solution consiste à utiliser une clé iPSK par foyer sur vos points d'accès existants, tout en conservant un réseau Captive Portal distinct pour les visiteurs.
Conception de réseaux WiFi pour les immeubles de bureaux multi-locataires
Ce guide fournit aux responsables informatiques, architectes réseau et CTO un plan indépendant des fournisseurs pour concevoir des réseaux WiFi évolutifs, sécurisés et isolés dans les immeubles de bureaux multi-locataires. Il traite de la segmentation VLAN sous IEEE 802.1Q, de l'attribution dynamique de VLAN via 802.1X et RADIUS, de la planification RF pour les environnements à haute densité et des considérations de conformité dans le cadre du GDPR et du PCI DSS. Les exploitants de sites et gestionnaires d'immeubles y trouveront des conseils d'architecture concrets, des études de cas réels et des pièges de configuration à éviter avant le déploiement.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.