Le portail captif Ubiquiti UniFi ne redirige pas : causes et correctifs

Un Captive Portal UniFi cesse généralement de rediriger parce que l'SSID n'est plus un Hotspot actif, l'utilisateur invité ne se trouve pas dans l'état non autorisé, les chemins de pré-autorisation requis ne parviennent pas à atteindre le service externe, ou le portail ne parvient pas à communiquer l'autorisation à UniFi. Vérifiez ces étapes exactement dans cet ordre 1 2 3.

Quelles conditions doivent être remplies pour que la redirection d'invité UniFi se produise ?

Ceci est un guide de dépannage pour une configuration qui fonctionnait auparavant. Il ne vous sera pas demandé de reconstruire votre réseau WiFi invités à partir de zéro. Au contraire, le guide progresse du périphérique invité vers le contrôleur, puis revient à travers le service externe. Cet ordre évite une erreur courante : modifier un SSID, un pare-feu ou un paramètre DNS avant de savoir quelle étape a réellement échoué.

Ubiquiti définit un Hotspot comme la fonctionnalité qui peut être appliquée à un SSID WiFi ou à un réseau complet ou VLAN. Le Captive Portal est ensuite activé au sein de cette configuration Hotspot. Par conséquent, un VLAN invités, un SSID invités ou une politique d'isolation réseau ne prouvent pas en soi que le flux de redirection soit actif. Si l'interface utilisateur de l'application UniFi Network a changé après une mise à jour, confirmez l'état actuel du Hotspot et du Captive Portal en suivant la documentation officielle de Ubiquiti, plutôt que de vous fier à l'emplacement historique du menu. 1

Pour un portail externe, Ubiquiti décrit un parcours utilisateur précis. Un périphérique se connecte à un SSID configuré avec Hotspot et Captive Portal. Il commence en tant que GUEST avec authorised: false. Lorsqu'il tente d'effectuer une requête web, UniFi le redirige vers le serveur du portail externe. Le serveur reçoit les détails d'identification du client et du point d'accès, obtient l'ID du client UniFi, puis demande l'autorisation via l'API Network. Un flux correctement complété se traduit par authorised: true. 2

La règle de diagnostic : ne considérez pas l'état "connecté au WiFi" comme la condition de réussite. La condition de réussite est un client de test non autorisé qui accède au service de connexion prévu, termine son processus, affiche authorised: true puis reçoit l'accès attendu. 2

De quoi avez-vous besoin avant de commencer l'isolation des pannes ?

Utilisez un appareil de test neuf et non autorisé. Un appareil déjà autorisé est un mauvais outil de diagnostic car il peut ignorer l'étape que vous devez examiner. Enregistrez le SSID ou le nom du réseau, l'heure du test, le type d'appareil, le système d'exploitation et si l'appareil affiche une invite de connexion automatique ou simplement un résultat de navigateur normal. Apple indique que iOS et macOS envoient une sonde lors de la première connexion à un réseau afin de détecter l'interception du Captive Portal et d'afficher une page de connexion. Cela signifie que l'absence de fenêtre automatique est un indice utile, mais ce n'est pas une preuve concluante que la passerelle ne peut pas rediriger une requête de navigateur normale. 4

Gardez le test ciblé. Ne commencez pas par ajouter de larges règles d'accès pour les invités. Ne supprimez pas une intégration fonctionnelle. Ne copiez pas une liste d'autorisation de pré-autorisation d'un autre site. Vous devez établir le chemin réel de l'invité et l'étape exacte où il s'interrompt. Si le problème concerne plusieurs sites, effectuez le même test avec un appareil neuf sur chacun d'eux. Une différence entre les sites est plus utile qu'une théorie sur une mise à jour de contrôleur partagé.

Pour un déploiement Purple, gardez l'article actuel UniFi Integration: Best Practices & Common Questions ouvert pendant vos tests. Purple utilise une connexion API directe au contrôleur plutôt qu'un canal d'authentification en arrière-plan RADIUS. Le compte API dédié doit donc être local au contrôleur, disposer de droits d'écriture en tant qu'administrateur, avoir la double authentification (2FA) désactivée et ne pas nécessiter de changement de mot de passe. Purple documente également différentes exigences de placement de compte pour les consoles matérielles et pour le UniFi OS Server auto-hébergé. 3

Comment isoler l'étape en échec ?

Commencez par la couche d'accès. Confirmez que le SSID WiFi concerné, ou sa configuration réseau globale, est toujours configuré en tant que Hotspot avec le Captive Portal activé. Ubiquiti documente le chemin actuel pour le SSID WiFi et documente séparément un chemin pour la zone de Hotspot pour une configuration réseau globale ou VLAN. Cette distinction est la réponse à la confusion habituelle entre UniFi guest network vs hotspot. Un réseau invité isolé peut être le bon segment et tout de même échouer à lancer le flux de connexion si la fonction Hotspot n'est pas active. 1 Ensuite, inspectez le client nouvellement connecté. Vous devez vérifier l'état non autorisé documenté, et non une simple association sans fil. Si cet état n'est pas présent, revenez à la configuration du Hotspot et au SSID ou au réseau sélectionné. Ne poursuivez pas avec le DNS, un fournisseur externe ou une intégration UDM Pro tant que cette étape n'est pas correcte. Un service externe ne peut pas autoriser un invité qui n'est jamais entré dans le flux du Hotspot externe. 2

Déclenchez ensuite une requête web normale depuis le même appareil. Si la requête atteint le service externe, conservez ce résultat comme preuve. Dans le cas contraire, concentrez-vous sur le chemin de pré-autorisation du segment invité. Purple connecte les invités uniquement à la fin de leur processus externe, et ses guides d'assistance associent un écran vide après l'envoi du formulaire à des règles d'invité qui bloquent le trafic web masqué nécessaire pour finaliser la connexion. Vérifiez l'ACL de pré-autorisation et les paramètres de post-autorisation. Déclarez les chemins de routage de destination essentiels tirés de la documentation actuelle du fournisseur. 3

À cette étape, conservez précisément le terme allow list. Il ne s'agit pas d'une liste de destinations web générales pour un invité autorisé. C'est l'ensemble des chemins requis avant l'approbation, tels que le service externe et les éléments nécessaires pour finaliser la transaction de connexion. L'article de support de Purple est la source faisant autorité pour ses exigences actuelles. Insérez le lien vers l'article de support dans votre ticket d'incident et enregistrez la date de la version, plutôt que d'intégrer une liste copiée et non mise à jour dans un runbook. 3

Comment se vérifient l'autorisation du portale externe et le chemin UDM ?

Si la page de connexion se charge, votre enquête passe de l'interception à l'autorisation. Ubiquiti indique que la redirection transmet l'adresse MAC de l'access point, l'adresse MAC du client, l'URL d'origine demandée et le SSID au portail externe. Le service externe peut utiliser l'adresse MAC du client pour obtenir l'ID du client à partir de l'API de réseau, puis émettre une demande d'autorisation. La confirmation côté contrôleur est l'état authorised: true du client. 2

Examinez les preuves dans cet ordre. Premièrement, le fournisseur a-t-il reçu une redirection pour le client concerné ? Deuxièmement, a-t-il identifié le même client répertorié par UniFi ? Troisièmement, a-t-il envoyé une demande d'autorisation ? Quatrièmement, UniFi a-t-il signalé le client comme autorisé ? Cette séquence fournit à une équipe IT locale et à un MSP un enregistrement d'incident partagé. De plus, elle interrompt le cycle improductif où une partie affirme que « le portail s'est chargé » tandis que l'autre soutient que « le pare-feu est correct ».

La question relative au UDM Pro guest portal nécessite la même vérification, avec un contrôle supplémentaire sur la classification du contrôleur. Les directives de Purple indiquent que les déploiements actuels sur les consoles matérielles UniFi et sur les versions modernes de UniFi OS Server doivent utiliser l'option d'intégration UniFi Network actuelle, tandis que seules les applications de contrôleur standalone plus anciennes et non mises à jour utilisent la sélection héritée. Sur les consoles matérielles, Purple suggère de créer le compte dédié dans le tableau de bord principal de UniFi OS. Si un déploiement a été mis à jour, migré ou reclassé, réexaminez l'emplacement de ce compte et la classification de l'intégration avant de modifier les règles du pare-feu pour les invités. 3

Les lignes directrices de support de Purple identifient également la joignabilité du contrôleur comme une limite distincte. Si le service externe ne parvient pas à joindre votre contrôleur à son adresse publique stable ou FQDN via le chemin de pare-feu approuvé, l'autorisation ne peut pas être finalisée. Vérifiez l'adresse enregistrée pour l'intégration, son routage entrant et les règles d'autorisation approuvées par le fournisseur. Suivez l'article de support pour les étapes de mise en œuvre actuelles et adaptées à votre version, plutôt que de reproduire les valeurs de connexion dans une checklist locale. 3

Qu'est-ce qui ne va pas et comment résoudre le problème ?

Le réseau invité est isolé, mais la page de connexion ne s'affiche jamais

Gérez ce problème comme une vérification de l'état du point d'accès avant un incident DNS. Confirmez si l'SSID WiFi ou le réseau concerné a la fonction Hotspot et Captive Portal activée. Ubiquiti sépare explicitement une configuration Hotspot uniquement WiFi d'une configuration globale de réseau ou de VLAN. Rétablissez la configuration souhaitée, reconnectez un nouvel appareil et confirmez que UniFi enregistre désormais un invité non autorisé avant de tester tout lien externe. 1 2

La redirection échoue avant le chargement de la page externe

Gérez ce problème comme un test de chemin de pré-autorisation. Saisissez le résolveur DNS de l'appareil invité, le résultat de la résolution cible et le comportement du navigateur. Ensuite, comparez les règles d'invité avec les exigences actuelles du fournisseur de portail. Les lignes directrices de Purple sont précises : lorsqu'un invité voit un écran vide après avoir soumis le formulaire, les paramètres d'ACL de pré-autorisation ou de post-autorisation peuvent bloquer le trafic requis pour finaliser le processus. Ne remplacez pas une politique de pré-autorisation ciblée par un accès internet général pour les invités. 3

La page externe se charge, mais l'invité reste hors ligne

Il s'agit d'une limite d'autorisation. Validez l'identité du client dans l'événement du fournisseur, la demande du fournisseur à UniFi et le statut final du client au niveau du contrôleur. Le flux externe d'Ubiquiti distingue la redirection de l'action d'autorisation ultérieure via API. Le chargement d'une page démontre que la première phase a fonctionné, mais ne prouve pas que le client a ensuite été marqué comme autorisé. 2

Une mise à jour de UniFi Network ou de UDM a modifié le chemin prévu

Ne partez pas du principe qu'une configuration existante du contrôleur correspond encore à l'intégration actuelle. Purple distingue un déploiement moderne UniFi Network d'un contrôleur autonome hérité et documente des guides distincts pour la création de comptes pour les consoles matérielles et UniFi OS Server auto-hébergé. Vérifiez à nouveau le compte local dédié, ses droits d'écriture, le statut de la 2FA, le paramètre de changement de mot de passe et la classification de l'intégration. Testez ensuite à nouveau avec un nouvel appareil. 3

Pi-hole ou le filtrage DNS en amont peuvent-ils bloquer l'hotspot UniFi ?

Cela peut faire partie de l'analyse, mais cela ne doit pas être la conclusion sans preuve. Les sources principales approuvées n'indiquent pas que Pi-hole soit la cause d'une erreur de redirection UniFi. Traitez le DNS comme un chemin mesurable. Confirmez le résolveur fourni au segment invité, vérifiez si la destination du service externe se résout, testez le chemin DNS approuvé sous contrôle des modifications et comparez les résultats. Le test de l'appareil Apple est une autre raison d'enregistrer à la fois l'expérience de connexion automatique et une requête de navigateur standard. 4

Comment prouver que la solution fonctionne avant la prochaine période de pointe ?

Utilisez une validation de mise en production reproductible. Elle doit suivre le même parcours qu'un véritable invité, et non un simple contrôle de connectivité du seul contrôleur. Tout d'abord, dissociez le réseau ou utilisez un nouvel appareil de test. Deuxièmement, connectez-vous à l'SSID concerné. Troisièmement, confirmez que le client n'est pas autorisé. Quatrièmement, lancez une requête web standard. Cinquièmement, confirmez que le service externe reçoit la redirection. Sixièmement, terminez le processus de connexion approuvé. Septièmement, confirmez le statut authorised: true et testez l'accès standard. 2

Exécutez la validation avant les arrivées massives dans un établissement du secteur Hospitality, avant une période de campagne dans le Retail, avant un événement dans les Transport ou avant que la demande des visiteurs n'augmente dans l'Healthcare. Conservez le résultat comme journal opérationnel : réussite ou échec à chaque étape, type d'appareil, classification du contrôleur et toute modification appliquée. C'est beaucoup plus exploitable qu'une alerte générique de type "guest WiFi indisponible".

Exemple de scénario réel : incident de l'écran blanc dans un hôtel

Un hôtel de 200 chambres signale que les clients se connectent au SSID de la marque mais voient une page de connexion vide. L'ingénieur de garde utilise un nouvel appareil et confirme le statut authorised: false, ce qui signifie que l'étape de Hotspot est présente. La page commence à se charger mais la transaction ne va pas jusqu'au bout. L'ingénieur compare les chemins de pré-autorisation des invités avec les directives d'assistance actuelles du fournisseur, valide le résolveur effectivement attribué au segment invité et répète le test. La condition de réussite mesurable est que l'appareil termine la connexion, passe à authorised: true et accède à l'accès attendu. 2 3

Scénario réel type : points de vente retail après modification du contrôleur

Une équipe retail signale que les clients se connectent à un SSID isolé mais ne voient jamais la page de connexion après une modification du contrôleur. L'ingénieur ne commence pas par le DNS. Il confirme que le SSID est isolé, puis vérifie si les options Hotspot et Captive Portal sont activées dans la configuration UniFi actuelle. Après avoir rétabli l'état Hotspot souhaité, il reconnecte un nouvel appareil et vérifie l'état non autorisé documenté avant de tester le service externe. Le résultat observable est un événement de redirection suivi d'un statut d'autorisation validé. 1 2

Scénario réel type : échec de l'autorisation externe dans un centre de congrès

La page de connexion d'un centre de congrès se charge et accepte le formulaire d'invité, mais les participants restent hors ligne. L'équipe enregistre l'adresse MAC du client et vérifie l'événement de redirection du fournisseur externe. Elle valide ensuite que le fournisseur a reconnu ce même client, a envoyé la demande d'autorisation, et que UniFi enregistre bien authorised: true. Pour une intégration Purple, elle vérifie également le compte API local, les droits d'écriture, le paramètre 2FA et la classification actuelle du contrôleur. Le résultat attendu est une chaîne de preuves traçable, et non une supposition quant à la cause. 2 3

Une fois l'incident résolu, utilisez le même contrôle de validation dans votre processus opérationnel de Guest WiFi. La section Guest WiFi fournit le contexte du service, tandis que WiFi Analytics peut aider les équipes opérationnelles à surveiller l'expérience après rétablissement du service. Pour les contrôles opérationnels connexes, consultez Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026, le guide Cisco Meraki splash page not working: a troubleshooting flowchart et WiFi 7 Venue Deployment: Infrastructure Readiness for Stadiums and Hospitality Sites.

Questions fréquemment posées

Ai-je besoin d'un VLAN invité et d'un UniFi Hotspot pour afficher une page de connexion ?

Non. Ubiquiti documente un Hotspot à la fois sur un SSID WiFi et sur un réseau complet ou VLAN. La condition fondamentale est que le SSID ou le réseau concerné ait la fonction Hotspot et Captive Portal activée. Un VLAN invité isolé est un choix de segmentation. Il n'établit pas en soi le statut de client non autorisé et ne lance pas de redirection externe. 1 2

Que doit contenir une liste de pré-autorisation UniFi ?

Uniquement les chemins nécessaires pour terminer le processus de connexion invité sélectionné avant l'approbation. Purple associe les écrans vides post-formulaire à des règles d'invité qui bloquent le trafic requis pour finaliser l'accès. Vérifiez l'ACL de pré-autorisation et les paramètres de post-autorisation en les comparant à la documentation actuelle de votre fournisseur. Ne copiez pas une liste de domaines depuis un autre site et n'ajoutez pas d'accès internet non sécurisé simplement pour charger la page. 3

Pourquoi le portail invité UniFi a-t-il cessé de fonctionner après une mise à jour de l'application ?

Vérifiez l'état du Hotspot, la classification du contrôleur et le compte d'intégration avant de modifier le réseau. La documentation actuelle d'Ubiquiti distingue la configuration du Hotspot d'un réseau invité général. Purple distingue également les intégrations de réseau UniFi actuelles des déploiements avec contrôleurs autonomes existants, avec des directives différentes pour les comptes de console matérielle et de serveur UniFi OS auto-hébergé. Effectuez un nouveau test avec un appareil propre après chaque correction. 1 3

Pourquoi un portail externe se charge-t-il sur mon UDM Pro mais n'autorise pas l'invité ?

Une page chargée démontre l'étape de redirection, et non l'étape d'autorisation finale. Vérifiez que le fournisseur externe a bien reçu l'identité du client, trouvé la correspondance avec le client UniFi, envoyé une demande d'autorisation, et que le contrôleur affiche authorised: true. Pour Purple, vérifiez également que le compte local dédié dispose des autorisations d'écriture, n'a pas de 2FA activée et ne présente pas de modifications de mot de passe obligatoires. 2 3

Pi-hole interrompt-il la redirection du hotspot UniFi ?

Ne supposez pas que c'est le cas. Les sources primaires approuvées n'identifient pas Pi-hole comme une cause principale avérée pour UniFi. Testez le résolveur réel du segment invité, la résolution de destination et le chemin DNS approuvé sous contrôle des modifications. Enregistrez à la fois la demande automatique de l'appareil et le résultat d'un navigateur normal, car les appareils Apple utilisent une sonde de réseau captif lors de la connexion. 4

Dois-je remplacer mes points d'accès UniFi pour résoudre une erreur de redirection ?

Non, pas comme première mesure. Le flux externe documenté indique une séquence d'étapes de configuration et d'autorisation : statut du point d'accès, statut du client non autorisé, redirection, traitement externe et approbation du contrôleur. Identifiez l'étape défaillante avec un nouvel appareil de test avant d'envisager un remplacement du matériel. 1 2

Références