Le guide ultime de l'architecture et de l'authentification OpenRoaming
Ce guide fournit une référence technique faisant autorité sur l'architecture WBA OpenRoaming, couvrant les bases de Passpoint, la fédération RADIUS, la sécurité RadSec mTLS, ainsi que des conseils de déploiement étape par étape pour les sites d'entreprises. Il apporte aux responsables informatiques, aux architectes réseau et aux exploitants de sites les connaissances nécessaires pour remplacer les Captive Portals par une connectivité WiFi transparente, sécurisée et conforme, offrant un ROI mesurable.
Video overview
Écouter ce guide
Voir la transcription du podcast
Fait partie de notre série principale : Guide du WiFi invité →
Résumé analytique
Le modèle traditionnel de Captive Portal pour le WiFi invité est dépassé. Depuis des décennies, les établissements s'appuient sur des écrans de connexion manuels qui frustrent les utilisateurs, offrent une sécurité médiocre et génèrent d'importants frais de support. WBA OpenRoaming représente un changement architectural fondamental, remplaçant l'authentification manuelle par une fédération mondiale de connexions sécurisées et automatiques basées sur la technologie Passpoint (Hotspot 2.0) et l'authentification 802.1X Authentication: Securing Network Access on Modern Devices.
Pour les responsables informatiques et les architectes réseau, le déploiement d'OpenRoaming ne consiste plus seulement à améliorer l'expérience utilisateur - c'est un impératif stratégique pour renforcer la sécurité du réseau, réduire les tickets de support et générer un retour sur investissement mesurable grâce à une meilleure utilisation du réseau. Ce guide fournit une référence technique complète pour mettre en œuvre l'architecture OpenRoaming, naviguer dans la fédération RADIUS et garantir la conformité avec les normes de sécurité modernes dans les environnements d'entreprise, de Retail et d'Hospitality.
Analyse technique approfondie : L'architecture OpenRoaming
L'architecture OpenRoaming fonctionne via une fédération de confiance gérée par la Wireless Broadband Alliance (WBA). Elle comble le fossé entre les fournisseurs d'identité (IDP) qui émettent les identifiants et les fournisseurs de réseaux d'accès (ANP) qui exploitent l'infrastructure WiFi.
Les fondations Passpoint
Au cœur d'OpenRoaming se trouve la norme Passpoint de la Wi-Fi Alliance (basée sur l'IEEE 802.11u). Passpoint permet aux appareils de découvrir et de s'authentifier automatiquement sur les réseaux WiFi. Lorsqu'un appareil pénètre dans un espace compatible OpenRoaming, il utilise le protocole Access Network Query Protocol (ANQP) pour interroger le point d'accès sur les identifiants d'organisation de consortium d'itinérance (RCOI) pris en charge avant de s'associer. Cette découverte préalable à l'association est entièrement invisible pour l'utilisateur - l'appareil détermine silencieusement s'il détient des identifiants valides pour le réseau avant de lancer toute tentative de connexion.
La fédération RADIUS et RadSec
L'itinérance WiFi traditionnelle des opérateurs repose sur des tables de routage RADIUS statiques alimentées par des accords bilatéraux, sécurisées par des tunnels IPSec. Ce modèle n'est pas transposable à une fédération mondiale et ouverte. OpenRoaming résout ce problème en utilisant une découverte dynamique des pairs basée sur le DNS (RFC 7585) et RadSec (RADIUS sur TLS, RFC 6614).
Lorsqu'un point d'accès reçoit une demande d'authentification, le proxy RADIUS local effectue une recherche DNS NAPTR sur le domaine de l'utilisateur pour découvrir de manière dynamique le serveur RadSec de l'IDP. La signalisation est sécurisée par mTLS (mutual TLS) avec des certificats émis par l'infrastructure à clés publiques (PKI) à quatre niveaux de la WBA, garantissant une sécurité de bout en bout entre le réseau d'accès et le fournisseur d'identité sans nécessiter d'accords bilatéraux préalables.
Identifiants d'Organisation de Consortium d'Itinérance (RCOI)
OpenRoaming utilise des RCOI spécifiques pour diffuser les contrôles de politique et les modèles de règlement. Ceux-ci sont annoncés dans la balise 802.11 et via ANQP :
| Valeur RCOI | Modèle | Description |
|---|---|---|
| 5A-03-BA | Sans règlement | L'ANP fournit la connectivité sans frais pour l'IDP. Modèle dominant pour l'entreprise, le commerce de détail et l'hôtellerie. |
| BA-A2-D0 | Avec règlement | L'ANP attend une compensation financière. Utilisé pour les scénarios de connectivité premium. |
Les 12 bits les plus significatifs du RCOI peuvent également être utilisés pour définir les politiques de Groupe d'accès fermé (CAG), permettant aux ANP et aux IDP de négocier les niveaux de qualité de service, les niveaux de vérification d'identité et les exigences de confidentialité à un niveau granulaire.
Guide d'implémentation
Le déploiement d'OpenRoaming nécessite une coordination entre le matériel réseau, l'infrastructure RADIUS et la gestion des identités. Pour un aperçu complet des exigences matérielles, consultez notre guide sur la Définition des points d'accès sans fil votre guide ultime 2026.
Étape 1 : Évaluation de l'état de préparation de l'infrastructure
Vérifiez que vos points d'accès et contrôleurs LAN sans fil prennent en charge Passpoint/Hotspot 2.0 (IEEE 802.11u). La plupart des équipements de classe entreprise fabriqués après 2018 incluent un support natif. Configurez un SSID dédié sécurisé avec WPA3-Enterprise (ou WPA2-Enterprise pour la compatibilité avec les appareils existants). Ce SSID transportera le trafic OpenRoaming et doit être configuré avec les paramètres ANQP appropriés pour diffuser votre RCOI.
Étape 2 : Adhésion à la WBA et engagement d'un courtier
Pour participer à la fédération OpenRoaming, votre organisation doit soit rejoindre directement la WBA, soit faire appel à un courtier agréé par la WBA. Le courtier attribuera à votre organisation un Identifiant WBA (WBAID), émettra vos certificats RadSec sous la PKI de la WBA et configurera vos enregistrements DNS NAPTR/SRV pour permettre la découverte dynamique. C'est l'étape fondamentale qui connecte votre infrastructure à la fédération mondiale.
Étape 3 : Configuration de l'infrastructure RADIUS
Votre serveur RADIUS doit être configuré pour acheminer les requêtes d'authentification vers la fédération OpenRoaming. Cela implique la configuration de RadSec pour établir des connexions mTLS à l'aide de vos certificats délivrés par la WBA. Le proxy RADIUS doit être capable d'effectuer des requêtes DNS NAPTR pour résoudre dynamiquement les terminaux IDP. Les solutions RADIUS basées sur le cloud peuvent simplifier considérablement cette étape en faisant abstraction des processus complexes de découverte DNS et de gestion des certificats.
Étape 4 : Stratégie de provisionnement des appareils
L'installation des profils Passpoint sur les appareils des utilisateurs est la principale considération opérationnelle. Quatre approches sont disponibles :
| Méthode | Idéal pour | Mécanisme |
|---|---|---|
| Déploiement MDM | Appareils d'entreprise gérés | Intune, Jamf ou Workspace ONE déploient automatiquement les profils |
| Inscription en ligne (OSU) | Déploiements destinés aux consommateurs | Inscription autonome standardisée via le protocole Passpoint OSU |
| Provisionnement via application | Membres de programmes de fidélité | L'application mobile installe le profil Passpoint après l'authentification |
| Inscription par QR Code | Enregistrement dans l'hôtellerie | Un QR code physique déclenche l'installation du profil |
Étape 5 : Configuration des politiques et segmentation VLAN
Configurez votre contrôleur WLAN pour diffuser les RCOI OpenRoaming appropriés via ANQP. Implémentez l'attribution dynamique de VLAN via les attributs RADIUS pour garantir que le trafic invité est isolé des réseaux d'entreprise. Ceci est non négociable pour la conformité PCI-DSS dans les environnements de Vente au détail et constitue une bonne pratique pour tous les secteurs.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.
Bonnes pratiques pour la sécurité et la conformité
OpenRoaming améliore fondamentalement la posture de sécurité du WiFi des sites, passant de réseaux ouverts et non chiffrés à une sécurité robuste de niveau entreprise. Pour en savoir plus sur les mécanismes d'authentification sous-jacents, consultez Authentification 802.1X : Sécuriser l'accès réseau sur les appareils modernes.
WPA3-Enterprise et authentification 802.1X
Contrairement aux portails captifs où le trafic n'est pas chiffré avant la connexion, OpenRoaming utilise le chiffrement WPA3-Enterprise dès le premier paquet. Le processus d'authentification mutuelle 802.1X garantit que l'appareil de l'utilisateur vérifie par cryptographie l'identité du réseau avant de transmettre toute information d'identification, éliminant ainsi le risque de points d'accès malveillants de type "Evil Twin" - une vulnérabilité que les Captive Portals traditionnels ne peuvent pas résoudre.
Confidentialité et conformité GDPR
Les portails captifs traditionnels collectent souvent d'importantes données personnelles (PII), ce qui crée de lourdes contraintes de conformité avec le GDPR. OpenRoaming authentifie les utilisateurs via des identifiants pseudonymisés tels que l'attribut Chargeable-User-Identity (CUI). Le site vérifie que l'utilisateur est légitime sans nécessairement absorber ses données personnelles brutes, ce qui s'aligne avec les principes de minimisation des données du GDPR et réduit la portée de vos obligations de traitement des données.
Segmentation réseau et PCI DSS
Pour les environnements du secteur Retail, la conformité PCI DSS est essentielle. Le trafic OpenRoaming doit être strictement segmenté des systèmes de Point de Vente (POS) et des réseaux d'entreprise. Utilisez l'attribution dynamique de VLAN via les attributs RADIUS pour isoler immédiatement le trafic invité dès l'authentification, en le plaçant dans une instance VRF avec uniquement une route Internet par défaut et des règles de refus explicites pour tout l'espace d'adressage interne RFC 1918.
Études de cas : OpenRoaming en production
Étude de cas 1 : Centre de congrès RAI Amsterdam (Événements & Conférences)
Le centre de congrès RAI Amsterdam, l'un des plus grands sites événementiels d'Europe accueillant 1,5 million de visiteurs par an, a déployé le WiFi 6 avec WBA OpenRoaming en 2023. Lors du Cisco Live Europe, plus de 18 000 participants ont bénéficié d'une connectivité OpenRoaming fluide, consommant plus de 77 téraoctets de données sur quatre jours. Les participants ont passé en moyenne six heures sur le réseau. Ce déploiement a démontré comment OpenRoaming élimine le pic de connexion qui se produit généralement à l'ouverture des portes de l'événement, en répartissant uniformément la charge d'authentification sur l'ensemble de la fédération. Pour les hubs de Transport et les centres de conférence, cette étude de cas constitue la preuve de concept définitive.
Étude de cas 2 : Chaîne de magasins Delhaize (Retail)
Le groupe de distribution belge Delhaize a déployé OpenRoaming sur l'ensemble de son réseau de magasins afin d'améliorer la connectivité des clients et de simplifier les opérations. Ce déploiement a résolu les problèmes persistants liés aux taux de conversion des portails captifs - un défi auquel sont confrontés tous les opérateurs du Retail alors que les clients se tournent de plus en plus par défaut vers les données mobiles plutôt que de passer par des écrans de connexion manuels. En permettant une connectivité automatique et sécurisée pour les utilisateurs de son application de fidélité, Delhaize a augmenté l'adoption du WiFi et amélioré la qualité de ses données analytiques en magasin, soutenant directement les décisions de merchandising et d'optimisation de l'espace. Cela s'inscrit dans la tendance plus large de l'intégration du WiFi Analytics avec les plateformes d'intelligence commerciale.
Résolution des problèmes & Atténuation des risques
Bien que OpenRoaming simplifie l'expérience de l'utilisateur final, l'infrastructure sous-jacente est complexe. Les architectes réseau doivent atténuer de manière proactive les modes de défaillance courants :
L'expiration du certificat RadSec est le risque opérationnel le plus critique. Les connexions mTLS reposent sur des certificats WBA PKI. Un certificat expiré interrompra immédiatement le routage de la fédération, provoquant des échecs d'authentification silencieux. Mettez en œuvre une surveillance avec un préavis d'au moins 60 jours et un processus de renouvellement défini.
Les échecs de résolution DNS sont la deuxième cause la plus fréquente d'interruptions OpenRoaming. La découverte dynamique des pairs dépend d'une résolution DNS fiable des enregistrements NAPTR et SRV. Assurez-vous que vos proxys RADIUS disposent de redirecteurs DNS redondants et performants configurés et testez la résolution DNS dans le cadre de vos vérifications régulières de l'état du réseau.
La compatibilité avec les appareils existants doit être planifiée pendant la transition. Bien que les appareils modernes iOS, Android, Windows et macOS prennent en charge nativement Passpoint, ce n'est pas le cas des appareils plus anciens. Maintenez un réseau Guest WiFi traditionnel parallèle pendant la période de transition pour garantir une couverture universelle.
Une mauvaise configuration du proxy RADIUS peut entraîner des échecs de routage basés sur le domaine. Assurez-vous que votre proxy gère correctement le domaine EAP-Identity et que vos enregistrements DNS NAPTR sont correctement formatés pour la découverte RFC 7585. Testez avec plusieurs domaines IDP avant la mise en service.
-
ROI et impact commercial
L'intérêt commercial d'OpenRoaming va bien au-delà de l'élégance technique. Les exploitants de sites peuvent s'attendre à des rendements mesurables sur plusieurs aspects :
| Métrique | Résultat typique | Source |
|---|---|---|
| Réduction des tickets de support WiFi | Diminution de 70 à 80 % | Rapports de déploiement WBA |
| Augmentation du taux d'adoption du WiFi | Hausse de 40 à 50 % | Données de déploiement WBA dans les aéroports |
| Consommation de données par utilisateur | Nettement plus élevée par rapport au Captive Portal | Étude de cas RAI Amsterdam |
| Risque de conformité des données personnelles (PII) | Sensiblement réduit | Modèle d'ID pseudonyme GDPR |
En adoptant OpenRoaming, les sites offrent les Modern Hospitality WiFi Solutions Your Guests Deserve, transformant le WiFi d'un service frustrant en un facilitateur invisible et transparent de l'expérience numérique. L'intégration avec les plateformes de WiFi Analytics devient plus précieuse, car des taux d'association plus élevés produisent des ensembles de données plus riches et plus représentatifs. Pour les organisations qui explorent le paysage plus large de la modernisation du réseau, l'article The Core SD WAN Benefits for Modern Businesses fournit un contexte complémentaire sur la façon dont OpenRoaming s'intègre dans une architecture réseau moderne et définie par logiciel.
Le secteur de la Healthcare devrait également en bénéficier de manière significative, OpenRoaming permettant une connectivité sécurisée et automatique pour les cliniciens de passage et les appareils IoT médicaux - sans les risques de conformité des réseaux invités ouverts ni la charge opérationnelle de la gestion des Captive Portals par appareil.
Définitions clés
Passpoint (Hotspot 2.0)
Un programme de certification de la WiFi Alliance basé sur la norme IEEE 802.11u qui permet aux appareils de découvrir et de s'authentifier automatiquement auprès des réseaux WiFi sans intervention de l'utilisateur, à l'aide d'identifiants pré-configurés.
La technologie fondamentale qui rend possible l'expérience OpenRoaming transparente sur l'appareil de l'utilisateur final. Sans la prise en charge de Passpoint sur le point d'accès et l'appareil, OpenRoaming ne peut pas fonctionner.
RadSec
Protocole (RFC 6614) qui transporte les paquets RADIUS via une connexion TCP et TLS, assurant une transmission chiffrée, fiable et authentifiée des signaux d'authentification.
Utilisé pour sécuriser le trafic d'authentification traversant l'internet public entre le proxy RADIUS de l'établissement et la fédération mondiale OpenRoaming. Remplace l'ancien modèle de tunnel IPSec.
RCOI (Roaming Consortium Organisation Identifier)
Identifiant de 3 ou 5 octets diffusé par les points d'accès dans les balises 802.11 et les réponses ANQP pour indiquer les fédérations de roaming et les politiques de règlement prises en charge par le réseau.
Les appareils lisent le RCOI pour déterminer s'ils possèdent des identifiants valides pour se connecter avant de tenter une authentification. Le RCOI sans frais de règlement (5A-03-BA) est la norme pour les déploiements d'entreprise.
ANQP (Access Network Query Protocol)
Protocole IEEE 802.11 utilisé par les appareils pour interroger les points d'accès afin d'obtenir des informations réseau - y compris les RCOI pris en charge, le nom de l'établissement et la liste des domaines NAI - avant l'association.
Permet aux appareils d'évaluer de manière invisible si un réseau prend en charge leurs identifiants, sans perturber l'utilisateur ni initier de tentative de connexion.
Fournisseur d'identité (IDP)
Organisation qui gère les identités des utilisateurs et délivre les identifiants Passpoint (certificats ou profils) utilisés pour l'authentification OpenRoaming.
Les opérateurs mobiles, les services informatiques des entreprises et les programmes de fidélité agissent en tant qu'IDP. L'IDP authentifie l'utilisateur et signale le résultat à l'ANP via la fédération RADIUS.
Fournisseur de réseau d'accès (ANP)
L'établissement ou l'organisation qui exploite l'infrastructure physique WiFi, diffuse les RCOI OpenRoaming et applique les politiques d'accès locales.
Les hôtels, les stades, les magasins de détail et les bureaux d'entreprise agissent en tant qu'ANP. L'ANP contrôle ce à quoi les utilisateurs authentifiés peuvent accéder, quel que soit l'IDP qui les a authentifiés.
WBA PKI
L'infrastructure à clés publiques à quatre niveaux gérée par la Wireless Broadband Alliance, utilisée pour émettre les certificats mTLS requis pour les connexions RadSec entre les participants de la fédération.
Fournit la confiance cryptographique fondamentale qui permet à des milliers de réseaux indépendants de se fédérer de manière sécurisée sans accords bilatéraux préalables.
802.1X
Norme IEEE pour le contrôle d'accès réseau basé sur les ports, qui fournit un mécanisme d'authentification pour les appareils souhaitant se connecter à un réseau LAN ou WLAN, en utilisant des méthodes EAP (Extensible Authentication Protocol).
Le cadre de sécurité robuste qui sous-tend OpenRoaming. Il empêche les accès non autorisés et permet le chiffrement WPA3-Enterprise dès le premier paquet de données.
Chargeable-User-Identity (CUI)
Attribut RADIUS (RFC 4372) qui fournit un identifiant pseudonyme et stable pour un utilisateur sur plusieurs sessions, sans exposer sa véritable identité au réseau d'accès.
Permet aux établissements de suivre les visiteurs uniques à des fins d'analyse tout en minimisant la collecte de données personnelles, soutenant directement la conformité avec la minimisation des données du GDPR.
Exemples concrets
Un hôtel de luxe de 500 chambres utilise actuellement un Captive Portal obligeant les clients à se connecter avec leur numéro de chambre et leur nom de famille. Il est confronté à un volume d'assistance élevé et à de faibles scores de satisfaction client concernant le WiFi. Il souhaite implémenter OpenRoaming mais craint de perdre la possibilité de segmenter la bande passante pour les clients VIP et les membres de son programme de fidélité.
L'hôtel doit déployer OpenRoaming en utilisant le RCOI sans frais de règlement (5A-03-BA), l'application de fidélité de l'hôtel agissant comme un fournisseur d'identité. Lorsqu'un membre VIP se connecte, la réponse RADIUS Access-Accept du fournisseur d'identité inclut des attributs spécifiques au fournisseur (VSA) qui demandent au contrôleur WLAN de l'hôtel d'attribuer à l'utilisateur un profil QoS premium et un VLAN dédié à haut débit. Les clients standards authentifiés via un fournisseur d'identité tiers (par exemple, leur opérateur mobile) reçoivent le profil QoS par défaut. Le serveur RADIUS de l'hôtel sert de point d'application des règles, traduisant les attributs d'identité fournis par le fournisseur d'identité en règles réseau locales.
Une grande chaîne de vente au détail comptant 200 magasins souhaite déployer OpenRoaming pour améliorer la connectivité de ses clients et alimenter sa plateforme d'analyse WiFi avec des données de fréquentation plus riches. Son équipe de sécurité s'inquiète de la conformité PCI-DSS et du risque que des appareils invités accèdent au réseau de l'entreprise ou aux systèmes de point de vente.
La chaîne de vente au détail doit mettre en œuvre une segmentation réseau stricte comme condition préalable au déploiement. L'SSID OpenRoaming doit être mappé à un VLAN invité isolé au niveau de la couche d'accès (le point d'accès ou le commutateur de distribution). Le serveur RADIUS doit appliquer une attribution dynamique de VLAN, garantissant que tous les utilisateurs authentifiés via OpenRoaming sont placés dans une instance VRF dotée uniquement d'une route par défaut vers Internet et de règles ACL de refus explicites pour tout l'espace d'adressage interne RFC 1918. Le proxy RADIUS OpenRoaming doit être déployé dans une DMZ, sans chemin de routage direct vers le réseau de l'entreprise. Un test de pénétration trimestriel doit vérifier que la barrière de segmentation est respectée.
Questions d'entraînement
Q1. Votre établissement subit de fréquents échecs d'authentification silencieux pour un sous-ensemble d'utilisateurs OpenRoaming. Les captures de paquets confirment que la réponse EAP-Identity est reçue par l'AP, mais aucun RADIUS Access-Request ne parvient au fournisseur d'identité. Quel est le point de défaillance architectural le plus probable, et comment le diagnostiqueriez-vous ?
Conseil : Examinez les étapes requises pour que le proxy RADIUS localise la destination correcte pour le domaine de l'utilisateur spécifique avant de pouvoir transférer la demande d'authentification.
Voir la réponse type
Le point de défaillance le plus probable est la résolution DNS au niveau du proxy RADIUS. OpenRoaming repose sur la découverte dynamique (RFC 7585), ce qui exige que le proxy effectue une recherche DNS NAPTR/SRV sur le domaine fourni dans l'EAP-Identity. Si le DNS échoue, le proxy ne peut pas déterminer l'adresse IP du serveur RadSec de l'IDP, ce qui entraîne un échec silencieux. Diagnostiquez le problème en exécutant une recherche manuelle NAPTR depuis le proxy RADIUS pour le domaine concerné, en vérifiant que les enregistrements SRV corrects sont renvoyés et que l'IP du serveur RadSec est accessible sur le port 2083.
Q2. Le directeur informatique d'un hôpital souhaite déployer OpenRoaming pour améliorer la connectivité des cliniciens invités et des dispositifs IoT médicaux, mais exige que tout le trafic invité soit chiffré sur les ondes dès la connexion afin de respecter la politique de sécurité interne. L'établissement utilise actuellement un Captive Portal avec WPA2-Personal (PSK). La solution OpenRoaming répond-elle à cette exigence, et en quoi le modèle de chiffrement diffère-t-il ?
Conseil : Comparez le moment du chiffrement entre les portails captifs et l'authentification basée sur 802.1X, et déterminez ce qu'il advient du trafic avant que la connexion au Captive Portal ne soit établie.
Voir la réponse type
Oui, OpenRoaming répond parfaitement à cette exigence. Avec un Captive Portal, le trafic n'est pas chiffré sur les ondes tant que l'utilisateur n'a pas finalisé le processus de connexion - ce qui crée une fenêtre de vulnérabilité. OpenRoaming utilise l'authentification 802.1X et le chiffrement WPA3-Enterprise (ou WPA2-Enterprise), ce qui établit une session chiffrée unique et sécurisée par cryptographie via un handshake à 4 voies immédiatement après la réussite de l'authentification, avant toute transmission de données utilisateur. Chaque session utilise une clé PMK unique dérivée de l'échange EAP, garantissant un chiffrement par session bien plus robuste que le modèle de PSK partagée.
Q3. Vous configurez le contrôleur WLAN pour un nouveau déploiement dans un stade qui participera à la fédération OpenRoaming sans règlement (settlement-free). Un collègue suggère de diffuser également le RCOI réglé pour maximiser la compatibilité. Quelles sont les conséquences d'une diffusion simultanée des deux RCOI, et quelle est votre recommandation ?
Conseil : Prenez en compte les implications commerciales et opérationnelles de l'identifiant RCOI réglé (settled), et la manière dont les appareils priorisent la correspondance des RCOI.
Voir la réponse type
La diffusion du RCOI réglé (BA-A2-D0) parallèlement au RCOI sans règlement (5A-03-BA) est techniquement possible mais comporte un risque commercial important. Le RCOI réglé signale aux fournisseurs d'identité (IDP) que l'ANP attend une compensation financière pour la connectivité. Cela peut dissuader les IDP d'autoriser leurs utilisateurs à se connecter, car des frais leur seraient facturés. Pour un stade recherchant un taux d'adoption maximal et une connectivité fluide, la diffusion du seul RCOI sans règlement est la bonne approche. Le RCOI réglé ne doit être utilisé que lorsqu'un accord commercial de règlement spécifique est en place avec les IDP concernés.
Questions fréquentes
Qu'est-ce que le WBA OpenRoaming et comment remplace-t-il les Captive Portals traditionnels ?
Le Wireless Broadband Alliance (WBA) OpenRoaming est une fédération mondiale de WiFi basée sur Passpoint (Hotspot 2.0 / IEEE 802.11u) et RadSec (RFC 6614). Il permet aux appareils mobiles de découvrir et de s'authentifier automatiquement sur les réseaux WiFi d'entreprise à l'aide de d'identifiants préinstallés, de certificats ou de profils d'opérateurs, en contournant entièrement les Captive Portals des navigateurs.
Quelle est la différence entre un Access Network Provider (ANP) et un Identity Provider (IdP) ?
Un Access Network Provider (ANP) est un établissement ou un opérateur réseau qui fournit l'accès sans fil physique et diffuse les RCOI (Roaming Consortium OIs) de OpenRoaming. Un Identity Provider (IdP) est une organisation - telle qu'un opérateur mobile, une université, une entreprise technologique ou un programme de fidélité - qui délivre des identifiants aux utilisateurs et valide les demandes d'authentification transmises par l'ANP à travers la fédération.
Quels Roaming Consortium Organization Identifiers (RCOIs) sont utilisés pour OpenRoaming ?
Le RCOI principal de WBA OpenRoaming est 5A-03-BA-00-00, qui désigne un accès réciproque et sans frais de règlement. Le déchargement commercial des opérateurs avec règlement financier utilise le 5A-03-BA-01-00. Les établissements peuvent également diffuser le RCOI historique Cisco OpenRoaming 00-40-96 ou le RCOI eduroam 00-1B-C5 pour les environnements à double fédération.
Pourquoi OpenRoaming impose-t-il RadSec sur le port TCP 2083 au lieu du RADIUS standard ?
Le système RADIUS standard fonctionne sur UDP non chiffré (ports 1812/1813), ce qui expose les identités et les identifiants des utilisateurs lorsqu'ils sont acheminés sur des réseaux internet publics. OpenRoaming impose RadSec (RFC 6614), encapsulant les paquets RADIUS dans un chiffrement TLS 1.3 sur le port TCP 2083 avec une validation mutuelle de certificats X.509 (mTLS) pour sécuriser la fédération entre différents domaines.
Comment Purple permet-il aux établissements d'entreprise de déployer OpenRoaming en parallèle des analyses clients ?
Purple agit en tant que partenaire de confiance de la fédération WBA OpenRoaming, gérant la connectivité des proxys RadSec, le provisionnement automatisé des profils et les cycles de vie des certificats X.509 sur les équipements d'entreprise, notamment Cisco, HPE Aruba, Ruckus et Mist. Les établissements conservent des analyses de fréquentation en temps réel, le suivi du temps de visite et la conformité GDPR tout en offrant aux clients une connexion WiFi fluide et sans effort.
Continuer la lecture de cette série
India DPDP Act : Conformité du Guest WiFi pour les établissements en Inde
Ce guide de référence technique et d'autorité décrypte la loi Digital Personal Data Protection (DPDP) Act 2023 pour les établissements indiens proposant du WiFi invité. Il fournit des stratégies de conformité exploitables, des considérations architecturales pour les Captive Portals, ainsi que des cadres pratiques pour la conservation des données et les transferts transfrontaliers.
LGPD au Brésil et Guest WiFi : un guide de conformité
Ce guide de référence technique détaille comment la LGPD du Brésil s'applique aux déploiements de guest WiFi en entreprise, en se concentrant sur la conformité du Captive Portal, les bases légales de traitement et l'intersection avec le Marco Civil da Internet. Il fournit des conseils de mise en œuvre pratiques pour les responsables informatiques et les architectes réseau afin de limiter les risques réglementaires tout en maintenant l'utilité du réseau.
L'EU AI Act et le Guest WiFi : ce que les marketeurs doivent savoir
L'EU AI Act (règlement 2024/1689) introduit un cadre fondé sur le risque qui affecte directement la façon dont les exploitants de sites déploient le marketing WiFi basé sur l'IA, les Captive Portals et l'analyse des visiteurs. Ce guide associe les quatre niveaux de risque du règlement à des cas d'usage réels du Guest WiFi, identifie les pratiques interdites telles que l'inférence des émotions et le scoring social, et fournit des mesures de conformité concrètes pour les équipes informatiques et les directeurs marketing opérant dans l'hôtellerie, le retail, l'événementiel et le secteur public. Comprendre où se situe votre déploiement sur le spectre des risques - et mettre en œuvre les obligations de transparence de l'article 50 pour les chatbots IA et les portails conversationnels - n'est plus facultatif : l'application des interdictions de pratiques a débuté en février 2025.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.