Collecte de données WiFi : Quelles données votre réseau capture-t-il et comment les utiliser

Collecte de données WiFi : Quelles données votre réseau capture-t-il et comment les utiliser Un briefing Purple Enterprise — Environ 10 minutes --- INTRODUCTION & CONTEXTE [~1 minute] Bienvenue dans ce briefing Purple Enterprise. Je suis votre hôte, et aujourd'hui nous allons droit au but sur un sujet que chaque responsable informatique, architecte réseau et directeur des opérations de site doit maîtriser en 2026 : la collecte de données WiFi. Pas la théorie. Pas l'aperçu académique. La réalité pratique de ce que votre réseau géré capture en ce moment même, ce que vous êtes légalement tenu d'en faire et — surtout — comment transformer ces données en valeur commerciale mesurable. Que vous gériez une chaîne d'hôtels, un parc de magasins de vente au détail, un stade ou un site du secteur public, votre infrastructure WiFi invité génère un flux continu d'informations. La question n'est pas de savoir s'il faut les collecter. La question est de savoir si vous disposez de l'architecture, de la posture de conformité et de la plateforme d'analyse nécessaires pour les utiliser correctement. Entrons dans le vif du sujet. --- DEEP-DIVE TECHNIQUE [~5 minutes] Alors, que capture réellement un réseau WiFi géré ? Décomposons cela en quatre catégories de données distinctes, car les confondre est la source de la plupart des problèmes des organisations — tant sur le plan technique que juridique. La première catégorie concerne les identifiants d'appareils. Chaque appareil qui entre dans la zone de couverture de vos points d'accès diffuse une requête de détection. Cette requête contient, au minimum, une adresse MAC — l'identifiant matériel gravé dans la carte d'interface réseau. À partir de la seule adresse MAC, vous pouvez déduire le fabricant de l'appareil à l'aide de l'OUI — l'Organisationally Unique Identifier — qui correspond aux trois premiers octets. Ainsi, avant même qu'un utilisateur ne se soit connecté, vous savez déjà s'il transporte un Apple iPhone, un Samsung Android ou un ordinateur portable Windows. Une fois qu'il s'associe à votre SSID, vous capturez également le type d'appareil, la version du système d'exploitation et les capacités de protocole prises en charge — que l'appareil prenne en charge le Wi-Fi 6, le Wi-Fi 6E ou fonctionne encore sur l'ancien standard 802.11ac. Un avertissement crucial ici : depuis iOS 14 and Android 10, Apple et Google ont tous deux implémenté la randomisation des adresses MAC par défaut. Cela signifie que la capture passive par détection est moins fiable pour le suivi persistant des appareils qu'il y a cinq ans. La solution de contournement — et c'est important — réside dans les données de session authentifiée, ce qui nous amène à la deuxième catégorie. Les données de session sont capturées au moment où un appareil s'authentifie et s'associe à votre réseau. Cela inclut l'horodatage de la connexion, la durée de la session, les octets transférés, le SSID, le BSSID — qui est l'adresse MAC spécifique du point d'accès — le RSSI ou indicateur de force du signal reçu, et l'adresse IP attribuée par DHCP. Ces données sont générées au niveau du serveur RADIUS si vous utilisez l'authentification d'entreprise IEEE 802.1X, ou au niveau du contrôleur de Captive Portal si vous utilisez un réseau invité grand public. Les données de session constituent votre base de référence pour comprendre l'utilisation du réseau, planifier la capacité de débit et analyser la consommation de bande passante par utilisateur. La troisième catégorie concerne les données de connexion et d'identité — et c'est là que la valeur commerciale commence réellement à s'accumuler. Lorsqu'un invité s'authentifie via un Captive Portal — qu'il s'agisse d'une inscription par e-mail, d'une connexion sociale via Google ou Facebook OAuth, ou d'un formulaire personnalisé — vous capturez des données d'identité de première partie. Cela signifie le nom, l'adresse e-mail, la date de naissance si vous la demandez, les indicateurs de consentement marketing et la méthode d'authentification utilisée. Ce sont ces données qui alimentent vos intégrations CRM, vos scénarios d'e-mail marketing et vos déclencheurs de programmes de fidélité. De plus, ces données entrent directement dans le champ d'application du GDPR et du GDPR britannique — vos bases légales, vos registres de consentement et vos politiques de rétention des données doivent donc être irréprochables avant de commencer à les exploiter. La plateforme de WiFi invité de Purple gère cela au point de capture — en présentant une page d'accueil personnalisée, en enregistrant un consentement granulaire et en envoyant directement la fiche d'identité dans votre CRM ou votre plateforme d'automatisation du marketing via un webhook ou une intégration native. C'est la différence entre des données brutes et une intelligence exploitable. La quatrième catégorie concerne les données de mouvement et de présence. Il s'agit d'analyses dérivées plutôt que de captures brutes, mais elles reposent sur les données de session et d'appareil que nous avons déjà évoquées. En corrélant les mesures RSSI d'un même appareil sur plusieurs points d'accès, vous pouvez trianguler la position de l'appareil à une précision de deux à s'associer à vos points d'accès à une distance de deux à cinq mètres, selon la densité de vos points d'accès. Cela vous donne le temps de présence par zone, les parcours des visiteurs, la fréquence des visites répétées et les pics de fréquentation. Pour un environnement de vente au détail, cela se traduit directement par des décisions de merchandising. Pour un hôtel, cela oriente la planification du personnel de restauration. Pour un stade, c'est la base de la gestion des files d'attente et de l'optimisation de l'emplacement des concessions. C'est précisément ce que fait la plateforme WiFi Analytics de Purple — elle extrait les données brutes de session et de présence de votre infrastructure existante et les transforme en informations exploitables sur le site. Vous n'avez pas besoin de remplacer vos points d'accès. Vous avez simplement besoin de la bonne couche de données par-dessus. Parlons maintenant de l'architecture de conformité, car elle est non négociable. Le GDPR et le GDPR britannique exigent que toutes les données personnelles — et les adresses e-mail, les noms et les identifiants d'appareils persistants en font partie — soient collectées sur une base légale documentée, généralement le consentement ou l'intérêt légitime. Vous devez présenter une note d'information sur la confidentialité au point de capture, proposer des options de consentement granulaires et fournir un mécanisme permettant aux utilisateurs d'exercer leurs droits : accès, rectification, effacement et portabilité. La norme PCI DSS s'applique si votre réseau invité partage une infrastructure physique ou logique avec votre environnement de traitement des paiements. La solution ici est la segmentation du réseau — votre SSID invité doit se trouver sur un VLAN distinct, avec des règles de pare-feu empêchant tout mouvement latéral vers l'environnement des données de cartes de paiement. C'est une question d'exigence 1 et d'exigence 6, qui revient lors de chaque audit QSA. La norme IEEE 802.1X avec WPA3 Enterprise est le standard d'authentification pour tout déploiement nécessitant des identifiants par utilisateur, un accès basé sur des certificats ou une intégration avec un fournisseur d'identité comme Active Directory ou Azure AD. Pour les réseaux purement invités, le WPA3 Personal avec SAE — Simultaneous Authentication of Equals — offre une confidentialité persistante et protège contre les attaques par dictionnaire hors ligne, ce que le WPA2-PSK ne fait pas. --- RECOMMANDATIONS DE MISE EN ŒUVRE & PIÈGES À ÉVITER [~2 minutes] Bien, vous comprenez maintenant ce qui est capturé et le cadre de conformité. Parlons de ce qui pose réellement problème lors des déploiements en production. Le mode de défaillance le plus courant que je constate est ce que j'appelle le problème du « data lake ». Les organisations déploient une plateforme de WiFi invité, commencent à capturer des données de session et d'identité, puis n'en font rien parce qu'elles n'ont pas défini les cas d'usage au préalable. Vous vous retrouvez avec une base de données croissante d'adresses e-mail et d'enregistrements de sessions que personne n'exploite, et lorsque l'autorité de contrôle (comme la CNIL) intervient, vous ne pouvez pas justifier la durée de conservation car il n'y a pas de finalité documentée. Définissez vos cas d'usage avant de déployer. Si vous capturez des e-mails pour le marketing, vous avez besoin d'un scénario marketing. Si vous capturez des données de mouvement pour l'analyse de fréquentation, vous avez besoin d'un tableau de bord et d'un responsable. Le deuxième piège est un consentement mal configuré. J'ai vu des déploiements où la page d'accueil présente une case à cocher unique qui regroupe les conditions d'utilisation, la politique de confidentialité et le consentement marketing. Sous le GDPR, ces éléments doivent être distincts, dissociés et activables individuellement. Une case à cocher unique échoue au test de granularité et vous expose à des risques de sanctions. La plateforme de Purple impose cette séparation par conception — des indicateurs de consentement distincts, des registres d'audit distincts. Troisième piège : l'absence de politique de rétention des données. En vertu du principe de limitation de la conservation du GDPR, vous ne pouvez pas conserver indéfiniment des données personnelles. Définissez vos fenêtres de conservation — généralement 12 à 24 mois pour les données marketing, 90 jours pour les journaux de session bruts — et automatisez le processus de suppression. La purge manuelle n'est pas une stratégie de conformité. Du côté positif, les organisations qui tirent le meilleur parti de la collecte de données WiFi sont celles qui ont connecté le pipeline de données de bout en bout : du Captive Portal au CRM, puis à la plateforme d'automatisation du marketing, et enfin au tableau de bord d'analyse. Cette boucle fermée est ce qui transforme un réseau WiFi d'un centre de coûts en un actif générateur de revenus. --- QUESTIONS-RÉPONSES RAPIDES [~1 minute] Laissez-moi passer en revue les questions que l'on me pose le plus souvent. « Puis-je capturer le trafic WiFi sans Captive Portal ? » — Techniquement oui, au niveau des métadonnées de session. Mais sans identité authentifiée, vous êtes limité à des données d'appareils anonymes. Pour les cas d'usage commerciaux, le portail est indispensable. « La randomisation MAC fausse-t-elle mes analyses ? » — Elle affecte le suivi passif basé sur la détection, mais pas les données de session authentifiée. Une fois qu'un utilisateur se connecte, vous disposez d'un enregistrement d'identité persistant, indépendamment de la randomisation MAC. « Ai-je besoin d'un DPA avec mon fournisseur de plateforme WiFi ? » — Oui. En vertu de l'article 28 du GDPR, tout tiers traitant des données personnelles pour votre compte doit signer un accord de traitement des données (DPA). C'est non négociable. « Puis-je partager les données WiFi avec des annonceurs tiers ? » — Uniquement avec un consentement explicite pour cette finalité spécifique. Les regrouper dans vos conditions d'utilisation générales n'est pas suffisant. --- RÉSUMÉ & PROCHAINES ÉTAPES [~1 minute] Pour résumer : votre réseau WiFi géré capture quatre catégories de données — les identifiants d'appareils, les données de session, les données de connexion et d'identité, ainsi que les données de mouvement et de présence. Chaque catégorie présente une valeur commerciale différente et des obligations de conformité distinctes. Les organisations qui tirent profit des données WiFi sont celles qui ont construit l'ensemble de la pile : une capture conforme à la périphérie, une résolution d'identité au milieu et des analyses exploitables au sommet. Si vous évaluez ou mettez à niveau votre infrastructure WiFi invité, les questions à poser sont les suivantes : La plateforme impose-t-elle par conception un consentement conforme au GDPR ? S'intègre-t-elle nativement à mon CRM et à ma suite marketing ? Permet-elle d'analyser la fréquentation et la présence sans nécessiter de matériel supplémentaire ? Et prend-elle en charge les protocoles IEEE 802.1X et WPA3 pour l'authentification d'entreprise ? La plateforme de Purple est conçue pour répondre par l'affirmative à ces quatre questions. Vous pouvez explorer les fonctionnalités de WiFi invité et d'analyse sur purple.ai. Merci pour votre écoute. Si vous avez trouvé cela utile, partagez-le avec votre architecte réseau ou votre équipe d'exploitation de site. À la prochaine. --- FIN DU SCRIPT Durée totale estimée : environ 10 minutes à un rythme professionnel mesuré.