Exigences de l'Appel d'Offres WiFi WiFi invité : ce qu'il faut spécifier pour l'onboarding, la sécurité et l'analyse

Un RFP pour WiFi invité doit définir des exigences mesurables dans cinq domaines. Onboarding : Captive Portal, collecte du consentement et accessibilité WCAG 2.2. Sécurité : IEEE 802.1X, RADIUS, Passpoint et WPA3. Matériel : prise en charge explicite de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist et Ubiquiti UniFi. Conformité : GDPR, PCI-DSS v4.0 et DNS protecteur. Analytique : données de première partie exportables. Évaluez les soumissionnaires sur des preuves factuelles.

Que doit véritablement spécifier un RFP pour WiFi invité ?

Un RFP pour WiFi invité transforme un cahier des charges flou, tel que "WiFi gratuit pour les invités", en exigences précises qu'un soumissionnaire peut valider ou non. Il définit la manière dont les utilisateurs se connectent, la façon dont le trafic est sécurisé et le matériel sur lequel la plateforme doit fonctionner. Il fixe également le traitement des données personnelles et le type de rapports obtenus.

Les RFP imprécis échouent généralement de la même manière. Ils énumèrent des fonctionnalités au lieu de normes, de sorte que chaque soumissionnaire répond "oui" et les réponses paraissent identiques. La solution consiste à associer à chaque ligne une norme désignée, la preuve attendue et un test pilote.

Pour un parc multi-sites, le RFP fixe également votre modèle d'exploitation pour la durée du contrat. Un Captive Portal est la page web qu'un appareil affiche avant d'accéder à Internet. Vous pouvez déployer un seul Captive Portal et un seul registre de consentement sur l'ensemble des sites. L'alternative consiste à utiliser une configuration différente pour chaque équipementier. Harmoniser un parc fragmenté plus tard coûte bien plus cher que de spécifier une solution unique dès maintenant.

Ce guide vous fournit le libellé des exigences, une matrice d'évaluation et des tests pilotes. Utilisez-le comme un modèle de RFP pour WiFi invité à adapter pour les Hôtels, la Grande distribution, la Santé, les Transports ferroviaires, les stades et les établissements publics.

De quoi avez-vous besoin avant de rédiger le RFP pour WiFi invité ?

Rassemblez cinq éléments avant la première ébauche. Chacun d'eux évite une source fréquente de demandes de modification après l'attribution du contrat.

• Un inventaire matériel par site. Consignez le fournisseur de points d'accès (AP), le modèle, la plateforme de gestion et le firmware de chaque site. Précisez si chaque site utilise un tableau de bord cloud ou un contrôleur sur site. Notre guide Qu'est-ce qu'un WLC (Wireless LAN Controller) et en avez-vous toujours besoin ? explique cette différence.
• Une liste des sites par catégorie. Regroupez les sites par secteur et par taille, car le hall d'un stade et le lobby d'un hôtel nécessitent des parcours d'onboarding différents. Identifiez le public ciblé par chaque site : invités, clients, passagers, supporters, patients ou visiteurs.
• une cartographie des données. Déterminez qui agit en tant que responsable du traitement, quels systèmes recevront les données WiFi et combien de temps vous les conserverez. Votre délégué à la protection des données doit valider ce document avant la diffusion du RFP.
• Vos périmètres de paiement. Listez chaque site qui accepte les paiements par carte. Indiquez si les appareils de paiement partagent des commutateurs ou des circuits avec le trafic invité. Cela définit votre périmètre PCI DSS.
• Indicateurs de réussite. Convenez des chiffres que vous communiquerez, tels que les connexions, le taux d'opt-in, les visiteurs récurrents et les tickets d'assistance. Les soumissionnaires pourront ainsi montrer comment leurs rapports génèrent chacun d'entre eux.

Impliquez la DSI, la sécurité, la protection des données, le marketing et la gestion des sites dès le départ. Le WiFi invité touche ces cinq équipes. Une exigence rédigée par une équipe en bloque souvent une autre.

Comment rédiger les exigences de l'AOA pour le WiFi invité, section par section ?

Rédigez chaque exigence avec « doit » ou « devrait », en suivant la convention RFC 2119. Un « doit » est un critère éliminatoire. Un « devrait » fait l'objet d'une notation. Demandez aux soumissionnaires de répondre à chaque ligne avec des preuves : un document, un certificat, un site de référence ou une démonstration en direct.

Exigences relatives à l'intégration et au portail captif

L'intégration est le moment où les invités jugent votre réseau, et où vos enregistrements de consentement sont créés. Cette liste de contrôle d'AOA pour portail captif couvre les éléments essentiels.

• Méthodes de connexion. La plateforme doit prendre en charge l'e-mail, la connexion via les réseaux sociaux, le SMS et les codes d'accès, configurables par site.
• Opt-ins par choix éclairé. Le consentement marketing doit être un choix séparé et non coché, jamais regroupé avec l'acceptation des conditions d'utilisation. L'article 7 du GDPR exige que le consentement soit démontrable et aussi facile à retirer qu'à donner.
• Accessibilité. Le portail captif doit respecter la norme WCAG 2.2 niveau AA.
• Détection fiable du portail. La plateforme devrait prendre en charge l'API Captive Portal API (RFC 8908) et l'option de portail captif DHCP (RFC 8910). Les deux aident les appareils récents à trouver la page de connexion sans boucle de redirection.
• Reconnaissance des visiteurs récurrents. iOS 14 et Android 10 et versions ultérieures utilisent par défaut des adresses MAC aléatoires. Demandez aux soumissionnaires comment ils reconnaissent un invité récurrent sans se fier à l'adresse matérielle de l'appareil.
• Contrôle centralisé. Le siège doit gérer l'image de marque, les conditions d'utilisation et la formulation du consentement de manière centralisée, avec des dérogations locales pour chaque site.

Purple Le WiFi invité intègre des opt-ins par choix éclairé dans le portail captif et le gère de manière centralisée sur l'ensemble d'un parc.

Exigences relatives à l'authentification, à RADIUS et à Passpoint

RADIUS est le protocole utilisé par un point d'accès pour demander à un serveur central s'il doit admettre un appareil. Il est défini dans la RFC 2865. La comptabilité RADIUS, définie dans la RFC 2866, enregistre le début, la fin et l'utilisation des données de la session. Pour un parc multisite, spécifiez ce qui suit.

• RADIUS Cloud avec redondance. L'authentification doit continuer à fonctionner en cas de défaillance d'un centre de données. Demandez l'architecture et 12 mois de disponibilité mesurée.
• Transport RADIUS chiffré. Lorsque RADIUS traverse l'internet public, exigez RadSec (RADIUS sur TLS, RFC 6614) ou un tunnel chiffré.
• Autorisation dynamique. La plateforme devrait envoyer des messages CoA (RFC 5176) pour mettre fin à une session ou la modifier sans forcer une reconnexion.
• Segmentation. Le trafic visiteurs doit reposer sur son propre VLAN, un segment de réseau logique isolé du personnel et des systèmes de paiement. L'isolation des clients doit empêcher les appareils des visiteurs de communiquer entre eux.
• Chiffrement sur les réseaux ouverts. Exigez WPA3, y compris Enhanced Open (Opportunistic Wireless Encryption, RFC 8110). Cela chiffre chaque connexion sans mot de passe partagé.
• Clés individuelles si nécessaire. La technologie iPSK (identity pre-shared key) attribue à chaque personne ou appareil son propre mot de passe WiFi sur un réseau partagé. Elle convient aux visiteurs de long séjour, aux exposants et aux équipes d'événements. Purple propose cette fonctionnalité via SecurePass.

Passpoint, également appelé Hotspot 2.0, repose sur la norme IEEE 802.11u. Il permet à un appareil de détecter et de rejoindre automatiquement un réseau, sans portail captif. L'authentification s'effectue via IEEE 802.1X, la norme pour le contrôle d'accès réseau basé sur les ports, afin que les identifiants restent chiffrés. OpenRoaming, géré par la Wireless Broadband Alliance, est une fédération basée sur Passpoint. Il permet aux utilisateurs de rejoindre les réseaux participants avec une identité qu'ils possèdent déjà.

Spécifiez Passpoint et OpenRoaming comme des exigences recommandées dans la première phase, avec une feuille de route chiffrée. Purple prend en charge OpenRoaming, afin que les visiteurs habituels puissent se connecter automatiquement dans vos établissements.

Si l'appel d'offres couvre également le WiFi du personnel, exigez l'intégration avec Microsoft Entra ID, Okta et Google Workspace. Cela permet d'aligner la gestion des arrivées, des changements de poste et des départs avec l'accès au réseau, sans modification manuelle des mots de passe.

Compatibilité AP indépendante du matériel

« Compatible avec les principaux matériels d'entreprise » ne peut pas être évalué. Nommez chaque plateforme que vous exploitez ou que vous pourriez adopter pendant la durée du contrat. Exigez ensuite les cinq mêmes capacités sur chacune d'entre elles.

1. Prise en charge d'un portail captif externe.
2. Authentification et comptabilisation RADIUS.
3. Un walled garden : la liste d'autorisations de domaines pré-connexion dont le portail et la connexion via les réseaux sociaux ont besoin.
4. Prise en charge de CoA, ou une alternative documentée pour mettre fin aux sessions.
5. Un guide d'intégration publié et au moins une référence active sur cette plateforme.

Fournisseur	Plateforme de gestion à nommer dans l'appel d'offres	Preuve minimale à demander
Cisco Meraki	Dashboard Meraki	Guide d'intégration, référence active, pilote sur votre firmware
HPE Aruba	HPE Aruba Networking Central ou Mobility Controller	Guide d'intégration, référence active, pilote sur votre firmware
Ruckus	RUCKUS SmartZone ou RUCKUS One	Guide d'intégration, référence active, pilote sur votre firmware
Juniper Mist	Cloud Juniper Mist	Guide d'intégration, référence active, pilote sur votre firmware
Ubiquiti UniFi	Application réseau UniFi	Guide d'intégration, référence active, pilote sur votre firmware
Cambium	cnMaestro	Guide d'intégration, référence active, pilote sur votre firmware
Extreme	ExtremeCloud IQ	Guide d'intégration, référence active, pilote sur votre firmware
Fortinet	Contrôleur sans fil intégré FortiGate	Guide d'intégration, référence active, pilote sur votre firmware

Demandez à chaque soumissionnaire d'indiquer les plages de firmware qu'il prend en charge, puis effectuez des tests par rapport aux vôtres. Purple est indépendant du matériel et fonctionne sous forme de superposeur cloud sur l'ensemble des huit plateformes. Il n'y a aucun remplacement complet à prévoir. L'article Pourquoi votre prochaine mise à niveau du WiFi ne nécessite pas de nouveau matériel présente l'intérêt commercial. Pour les parcs Ruckus, consultez Ruckus SmartZone et RUCKUS One guest WiFi vs plateformes de portail captif externes.

Clauses du GDPR à exiger

Le WiFi invité collecte des données personnelles à grande échelle, le contrat doit donc comporter ces clauses.

• Un accord de traitement des données conforme à l'Article 28 du GDPR, couvrant la finalité, la sécurité, les sous-traitants et la suppression.
• Des registres de consentement indiquant l'horodatage, la version du texte et le canal pour chaque adhésion, exportables à la demande.
• Une conservation configurable avec suppression automatique, conformément au principe de limitation de la conservation de l'Article 5(1)(e).
• Des outils pour les personnes concernées permettant de trouver, d'exporter et de supprimer les données d'une personne. Vous devez répondre aux demandes dans un délai d'un mois en vertu de l'Article 12(3).
• Une notification de violation de la part du sous-traitant sans délai raisonnable, comme le requiert l'Article 33(2). Vous disposez ensuite de 72 heures pour notifier l'autorité de régulation en vertu de l'Article 33(1).
• Des transferts internationaux. Le soumissionnaire doit indiquer où les données sont hébergées ainsi que le mécanisme de transfert pour tout traitement effectué hors du Royaume-Uni ou de l'EEE.
• Des preuves de sécurité pour l'Article 32, idéalement une certification ISO 27001.

Purple est certifié ISO 27001 et conforme aux normes GDPR, CCPA et Cyber Essentials.

Clauses PCI DSS à exiger

Le WiFi invité ne doit jamais se trouver au sein de votre environnement monétique (CDE). Le CDE couvre les systèmes qui stockent, traitent ou transmettent les données de cartes. La norme PCI DSS v4.0 vous permet de réduire le périmètre grâce au cloisonnement, mais vous devez prouver son efficacité.

• Le soumissionnaire doit confirmer par écrit que le trafic invité ne traverse jamais le CDE et documenter l'architecture.
• L'architecture doit prendre en charge votre test d'intrusion de cloisonnement, requis au moins tous les 12 mois selon l'exigence 11.4.5.
• Aucune donnée de carte ne doit être saisie sur le portail captif. Tout accès payant doit utiliser un fournisseur de services de paiement conforme à la norme PCI DSS, avec sa déclaration de conformité fournie.
• Vos tests trimestriels de détection des points d'accès sans fil non autorisés selon l'exigence 11.2.1 couvrent toujours les espaces invités.

Clauses de DNS protecteur à exiger

Le DNS protecteur empêche les appareils de résoudre les domaines connus pour héberger des logiciels malveillants, du hameçonnage ou des serveurs de commande et de contrôle. Le National Cyber Security Centre (NCSC) du Royaume-Uni fournit un service de DNS protecteur aux organismes du secteur public. Spécifiez ce qui suit.

• Flux de menace. Le soumissionnaire doit indiquer ses sources de renseignement sur les menaces et leur fréquence de mise à jour.
• Filtrage par catégorie par établissement, par exemple le blocage du contenu pour adultes dans les bibliothèques et les espaces familiaux.
• Une page de blocage personnalisée qui indique au visiteur la raison pour laquelle un site a été bloqué.
• Politique DNS chiffrée. Précisez la manière dont le service gère le DNS over HTTPS (RFC 8484) et le DNS over TLS (RFC 7858), qui peuvent contourner le filtrage.
• Conservation des journaux alignée sur votre calendrier GDPR. Les journaux DNS associés à une identité connectée constituent des données personnelles.
• Rapports mensuels sur les menaces bloquées par établissement.

Les modules de sécurité complémentaires de Purple sont SecurePass, Verify et Shield. Demandez une démonstration de chacun d'eux au regard des clauses ci-dessus.

Exigences en matière d'analyses et d'intégration

L'achat de solutions WiFi invité pour les grandes entreprises sous-estime souvent l'analyse de données, alors qu'il s'agit du principal levier de retour sur investissement. Spécifiez les éléments suivants.

• Indicateurs par établissement et par parc : visiteurs uniques, nouveaux visiteurs par rapport aux visiteurs récurrents, temps de séjour, fréquence des visites et heures de pointe.
• Tableaux de bord et rapports planifiés, avec contrôle d'accès basé sur les rôles afin que les responsables d'établissement ne voient que leur propre site.
• Intégrations avec vos plateformes CRM et marketing, via des API ou des connecteurs natifs. Le statut du consentement doit accompagner chaque enregistrement.
• Propriété des données. Les données first-party vous appartiennent. L'exportation complète au format CSV ou JSON doit être accessible à tout moment et lors de la résiliation du contrat, sans frais supplémentaires.

Purple WiFi Analytics remonte ces indicateurs par établissement et s'intègre aux plateformes CRM et marketing.

Niveaux de service et certifications

• Disponibilité. Exigez un SLA de disponibilité mensuel assorti de pénalités de service. La plateforme de Purple fonctionne avec un taux de disponibilité de 99,999 %.
• Support. Spécifiez les horaires, les délais de réponse selon la gravité et un contact désigné pour l'escalade.
• Certifications. Exigez la certification ISO 27001. Les contrats du gouvernement central britannique qui traitent des données personnelles exigent la certification Cyber Essentials, conformément à la note d'information sur la passation des marchés 09/14 (Procurement Policy Note 09/14).
• Références de déploiement à grande échelle. Demandez des références correspondant à votre taille. Purple gère plus de 80 000 sites actifs dans plus de 90 pays et a traité 440 millions de connexions en 2024 (données internes de Purple).

Grille d'évaluation des exigences

Domaine	Exigence	Priorité	Preuve à demander
Intégration	Opt-in marketing séparé et non précoché	Obligatoire	Captures d'écran du portail et exemple d'exportation des consentements
Intégration	Portail captif WCAG 2.2 AA	Obligatoire	Rapport d'audit d'accessibilité indépendant
Authentification	RADIUS basé sur le cloud avec basculement	Obligatoire	Schéma d'architecture et 12 mois de données de disponibilité
Authentification	Tunnel RadSec ou RADIUS chiffré	Obligatoire	Document de conception
Authentification	Passpoint et OpenRoaming	Recommandé	Site de référence en production
Chiffrement	WPA3 et Enhanced Open	Recommandé	Test pilote sur vos points d'accès
Matériel	Support dédié pour chaque plateforme utilisée	Obligatoire	Guide d'intégration et résultat du test pilote
GDPR	DPA selon l'Article 28 et contrôles de conservation	Obligatoire	DPA signé et démonstration des paramètres de conservation
PCI DSS	Trafic invité en dehors du CDE	Obligatoire	Conception de la segmentation et attestation de prise en charge des tests
DNS protecteur	Filtrage des menaces et des catégories avec page de blocage	Obligatoire pour le secteur public, recommandé ailleurs	Test de blocage en direct et exemple de rapport mensuel
Analytics	Exportation complète des données à la résiliation	Requis	Clause contractuelle et fichier d'exportation type
Service	SLA de disponibilité avec crédits de service	Requis	Annexe SLA

Comment vérifier qu'un soumissionnaire est en mesure de livrer ?

Évaluez en deux étapes : sur dossier, puis lors d'un pilote. Tout échec sur une exigence « requise » élimine le soumissionnaire dès l'étape sur dossier. Pondérez les lignes « souhaitées » restantes en fonction de vos priorités. Une répartition type est la suivante : sécurité et conformité 30 %, intégration 20 %, matériel 15 %, analytics 15 %, service 10 % et conditions commerciales 10 %.

Menez un pilote de 30 jours dans au moins deux établissements sur des plateformes matérielles différentes. Testez chacun des points suivants et enregistrez la réussite ou l'échec.

• Le portail captif s'affiche du premier coup sur iOS, Android, Windows et macOS.
• Un invité qui revient est reconnu lors de sa deuxième visite.
• Un export du consentement affiche l'horodatage et la version du texte utilisé.
• Une demande d'effacement supprime la personne de la plateforme et de votre CRM connecté.
• L'authentification continue lors d'un basculement simulé de RADIUS.
• Un message CoA met fin à une session sans reconnexion.
• Un domaine de test connu est bloqué et affiche votre page personnalisée.
• Une tentative de connexion depuis le VLAN invité vers le réseau de paiement échoue.

Testez le débit et la couverture séparément de la plateforme. L'article WiFi pour internet : fonctionnement et points à vérifier en présente les principes fondamentaux.

À quoi cela ressemble-t-il en pratique ?

Les trois scénarios ci-dessous sont des exemples illustratifs construits à partir de schémas d'achats courants. Il ne s'agit pas d'études de cas clients.

Un groupe de 45 hôtels reposant sur deux plateformes matérielles

Situation. Le groupe utilisait Cisco Meraki dans 30 hôtels et HPE Aruba dans 15 sites rachetés. Chaque parc possédait son propre portail captif. Sur les 15 sites rachetés, le consentement marketing était associé à l'acceptation des conditions générales.

Ce qui a été fait. L'Appel d'Offres exigeait les deux plateformes comme critères « requis ». Il imposait un portail unique, un registre de consentement unique et des autorisations d'utilisation distinctes. Le pilote a couvert un hôtel sur chaque plateforme.

Résultat. Deux des cinq soumissionnaires ont échoué au filtre matériel car ils ne prenaient en charge qu'une seule plateforme. La solution retenue a permis de conserver les 15 sites Aruba sur leurs points d'accès existants. Le consentement associé a été supprimé sur l'ensemble des 15 sites avant le lancement.

Une chaîne de 120 magasins soumise à la norme PCI DSS

Situation. Les terminaux de paiement partageaient les commutateurs avec les points d'accès invités dans les magasins les plus anciens. Le WiFi invité faisait donc partie du périmètre d'évaluation PCI DSS de la chaîne.

Ce qui a été fait. L'Appel d'Offres exigeait une architecture de segmentation documentée et une assistance écrite pour le test d'intrusion 11.4.5. Il interdisait également la saisie de cartes de crédit sur le portail captif.

Résultat. Le test annuel de segmentation a été validé dans les 120 magasins. Le WiFi invité est sorti du périmètre PCI DSS, ce qui a réduit le nombre de systèmes à contrôler par l'évaluateur.

Une municipalité gérant 25 bibliothèques et centres de loisirs

Situation. La municipalité avait besoin d'un WiFi public sécurisé pour les familles, de Cyber Essentials et d'une page de connexion accessible. Ce qui a été fait. Le DNS protecteur était un incontournable, avec un filtrage par catégorie pour les zones réservées aux enfants et une politique DNS chiffrée. Les journaux DNS ont été conservés pendant 90 jours, conformément au calendrier de conservation du conseil.

Résultat. Trois des sept soumissionnaires ont échoué à l'étape WCAG 2.2. Lors du pilote, le filtrage d'un soumissionnaire présélectionné a été contourné via DNS over HTTPS, ce qui l'a éliminé de la compétition.

Dysfonctionnements fréquents lors de l'achat d'un WiFi invité WiFi et solutions

Tous les soumissionnaires répondent « oui »

Cause : les exigences décrivent des fonctionnalités et non des normes. Solution : nommez le RFC, la norme IEEE ou l'article du GDPR pour chaque ligne, et exigez des preuves.

Le portail captif ne s'affiche pas

Cause : un walled garden incomplet ou une détection de portail captif défaillante. Solution : exigez la prise en charge des normes RFC 8908 et RFC 8910, et testez quatre systèmes d'exploitation lors du pilote.

Le nombre de visiteurs semble gonflé

Cause : la réinitialisation aléatoire des adresses MAC fait apparaître un seul appareil comme plusieurs. Solution : exigez la reconnaissance basée sur l'identité de connexion et demandez aux soumissionnaires d'expliquer comment ils comptabilisent les visiteurs récurrents.

Le consentement n'est pas conforme

Cause : des opt-ins regroupés avec les conditions générales, ou l'absence d'historique du texte affiché. Solution : exigez des opt-ins séparés et non précochés, ainsi que des registres de consentement horodatés avec versioning.

Vous ne pouvez pas résilier

Cause : absence de clause d'exportation des données. Solution : exigez une exportation complète au format CSV ou JSON lors de la résiliation, sans frais supplémentaires.

Le contrat impose du nouveau matériel

Cause : un fournisseur lié à une seule marque d'AP. Solution : une clause de neutralité matérielle nommant chaque plateforme que vous exploitez.

Combien cela coûte-t-il et quel est le retour sur investissement ?

Prévoyez un budget réparti sur six lignes de coûts : les licences logicielles, le matériel éventuel, l'installation, les circuits Internet, le support et le temps passé par votre propre équipe. L'architecture choisie explique la majeure partie des écarts.

Approche	Coût matériel	Parc multi-fournisseurs	Consentement et données	Modifications sur chaque site
Overlay cloud sur les AP existants (Purple)	Aucun : fonctionne sur les AP existants	Un seul portail pour Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet	Registres de consentement centralisés et données first-party vous appartenant	Configuration SSID et RADIUS sur les AP existants
Portail captif intégré du fournisseur d'AP	Aucun sur la plateforme actuelle	Un portail distinct pour chaque plateforme matérielle	Données de consentement et de visite conservées séparément sur chaque plateforme	Configuration répétée sur chaque plateforme
Remplacement complet du réseau géré	Nouveaux AP et licences sur chaque site	Un seul fournisseur de matériel imposé sur l'ensemble du parc	Déterminé par les conditions contractuelles du fournisseur	Installation de nouveaux AP sur chaque site

Demandez aux soumissionnaires de chiffrer sur une seule base : un prix annuel fixe par site pour toute la durée du contrat. Exigez l'intégration, le support, les mises à jour et les coûts de sortie détaillés ligne par ligne. Purple établit ses devis sur la base de trois offres (Connect, Capture et Engage), avec SecurePass, Verify et Shield disponibles comme modules complémentaires de sécurité.

Le retour sur investissement provient de quatre éléments. Vous obtenez des données first-party adossées à un consentement légal. Vous identifiez les heures de pointe et le temps de séjour afin de planifier le personnel. Vous évitez les dépenses de matériel grâce au déploiement en surcouche. Vous disposez d'une seule plateforme à maintenir au lieu de plusieurs. Purple propose cette solution depuis 2012, sur plus de 80 000 sites actifs.

Foire aux questions

Une plateforme de WiFi invité peut-elle fonctionner sur les points d'accès dont nous disposons déjà ?

Oui. Purple est indépendante du matériel et s'exécute sous forme de surcouche cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vos points d'accès continuent de gérer les fréquences radio et le trafic. Purple fournit le portail captif, le RADIUS cloud, les registres de consentement et les analyses. Dans votre appel d'offres, mentionnez chaque plateforme que vous utilisez et exigez un projet pilote sur votre propre micrologiciel avant l'attribution du contrat.

Comment devons-nous demander aux fournisseurs de tarifer le WiFi invité dans un appel d'offres ?

Demandez un prix annuel fixe par site pour toute la durée du contrat, avec les options détaillées séparément. Exigez des soumissionnaires qu'ils incluent l'intégration, le support, les mises à jour logicielles et l'exportation des données à la fin du contrat, et qu'ils indiquent tous les coûts matériels. Purple établit ses devis sur la base de trois offres (Connect, Capture et Engage), avec SecurePass, Verify et Shield en tant que modules de sécurité complémentaires. Cela vous permet de comparer les offres ligne par ligne.

Notre réseau WiFi invité entre-t-il dans le périmètre de la norme PCI DSS ?

Cela ne devrait pas être le cas, à condition qu'il soit segmenté de votre environnement de données de porteurs de cartes. La norme PCI DSS v4.0 vous permet de réduire ce périmètre grâce à la segmentation, mais vous devez prouver son efficacité. L'exigence 11.4.5 impose des tests d'intrusion sur les contrôles de segmentation au moins tous les 12 mois. Précisez que le trafic des invités ne croise jamais les systèmes de paiement et qu'aucune donnée de carte n'est saisie sur le portail captif.

Qui est le responsable du traitement des données du WiFi invité dans le cadre du GDPR ?

Vous êtes généralement le responsable du traitement, et le fournisseur de WiFi est votre sous-traitant. Le contrat doit donc comporter un accord de traitement des données conforme à l'article 28, couvrant la finalité, la sécurité, les sous-traitants ultérieurs, la suppression et la notification des violations. Votre appel d'offres doit également exiger des registres de consentement exportables et une durée de conservation configurable. Ajoutez des outils pour répondre aux demandes d'accès et d'effacement dans le délai d'un mois fixé par l'article 12(3).

Avons-nous besoin de la technologie Passpoint ou OpenRoaming dès le premier jour ?

Non, mais vous devriez exiger une feuille de route chiffrée pour les deux. Un portail captif reste la meilleure expérience lors de la première visite pour recueillir le consentement et les données first-party. Passpoint et OpenRoaming permettent ensuite aux invités qui reviennent de se connecter automatiquement, à l'aide d'une authentification 802.1X chiffrée, sans page de connexion. Purple prend en charge OpenRoaming, ce qui vous permet d'ajouter ultérieurement la connexion automatique dans le cadre du même contrat.

Le DNS protecteur doit-il faire partie du contrat de WiFi invité ?

Oui, en particulier pour les établissements du secteur public et accueillant des familles. Le DNS protecteur empêche les appareils d'accéder aux domaines liés à des logiciels malveillants, au hameçonnage et aux serveurs de commande et de contrôle. Il permet également d'appliquer un filtrage par catégorie pour chaque site. Rendez-le indispensable pour les municipalités, les bibliothèques et les sites de santé. Exigez une page de blocage personnalisée à votre image, une politique DNS chiffrée, des rapports mensuels et une conservation des journaux conforme à votre calendrier GDPR.

Quel est le niveau de perturbation causé par le changement de plateforme de WiFi invité ?

Le changement constitue une simple modification de configuration sur chaque site et non un projet matériel, lorsque la nouvelle plateforme fonctionne en surcouche. Purple s'intègre en surcouche de l'infrastructure existante, ce qui permet de conserver vos points d'accès, votre câblage et vos circuits en place. Lancez un projet pilote de 30 jours sur deux sites dotés de matériels différents, puis déployez la solution par vagues. Exporte les enregistrements de consentement de l'ancienne plateforme au préalable, afin de ne perdre aucun consentement légalement recueilli.

Pourquoi ne pas utiliser le portail captif intégré à la plateforme de notre fournisseur de points d'accès ?

Parce qu'un portail intégré lie l'intégration, le consentement et les données à une seule marque de matériel. Les réseaux multi-sites restent rarement sur une plateforme unique après des acquisitions et des cycles de renouvellement. Une plateforme indépendante permet de conserver un seul portail, un seul registre de consentement et une vue analytique unique sur l'ensemble de vos sites, quel que soit le matériel. Cela protège vos données et votre position de négociation lors de chaque futur renouvellement matériel.