Passer au contenu principal

Comparatif des plateformes WiFi invité pour stades et salles de spectacle : intégration à forte densité et activation des sponsors

Utilisez ce comparatif pour choisir entre un portail captif, le Passpoint via l'application de votre club, ou un modèle hybride pour votre stade ou votre salle de spectacle. Vous pourrez dimensionner le RADIUS et le DHCP pour gérer les pics à la mi-temps, protéger vos espaces sponsorisés et transmettre en quelques secondes les données des supporters ayant donné leur consentement vers la billetterie et le CRM des sponsors.

Par Tom HackettPublié le
📖 14 min de lecture4,018 mots3 exemples concrets11 définitions clés

Comparatif des plateformes WiFi invité pour stades et salles de spectacle : intégration à forte densité et activation des sp…

La plupart des stades et des salles de spectacle obtiennent les meilleurs résultats grâce à une solution hybride. Les abonnés reçoivent un profil Passpoint via l'application du club et se connectent automatiquement, de manière chiffrée, sans écran de connexion. Les visiteurs occasionnels utilisent un portail captif léger. Dimensionnez RADIUS et le DHCP pour les pics d'équipements connectés en simultané, et non en fonction du nombre de sièges. Acheminez les données de supporters ayant donné leur consentement vers la billetterie et le CRM des sponsors via des API pilotées par les événements.

Quelle approche de plateforme WiFi invité pour stade devez-vous choisir ?

Toute comparaison de plateformes WiFi invité pour stade se résume à trois architectures :

  • Un portail captif sur un réseau ouvert ou ouvert chiffré.
  • Des profils Passpoint transmis via l'application du club.
  • Une solution hybride qui exécute les deux sur les mêmes points d'accès.

Si vous disposez d'une base d'abonnés et d'une application du club, choisissez la solution hybride.

Quelques définitions d'abord. Un portail captif est la page web qu'un équipement affiche avant d'accorder l'accès à Internet. Sur celle-ci, le supporter se connecte, s'inscrit ou accepte les conditions d'utilisation. Passpoint, également appelé Hotspot 2.0, est une certification de la WiFi Alliance basée sur l'IEEE 802.11u. Elle permet à un appareil de trouver et de rejoindre un réseau automatiquement, en utilisant des identifiants stockés dans un profil. Passpoint s'authentifie avec l'IEEE 802.1X, la norme de contrôle d'accès basée sur les ports. 802.1X vérifie chaque équipement par rapport à un serveur RADIUS (Remote Authentication Dial-In User Service, défini dans la RFC 2865).

Ce choix influe sur trois éléments :

  • Le comportement du réseau lorsque 20 000 téléphones se déverrouillent à la mi-temps.
  • Le volume de données first-party que vous capturez.
  • La quantité d'inventaire sponsorisé que vous pouvez vendre.

Chaque architecture l'emporte sur l'un de ces points, c'est pourquoi la solution hybride s'impose généralement.

Purple exécute les trois sous la forme d'un overlay cloud agnostique du matériel. La solution prend en charge les points d'accès Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Il n'y a aucun remplacement complet de matériel à prévoir, comme l'explique notre article expliquant pourquoi votre prochaine mise à niveau WiFi n'a pas besoin de nouveau matériel. Purple enregistre 500 millions d'utilisateurs et de connexions par an sur plus de 80 000 sites dans 90 pays.

Là où les plateformes à portail captif, Passpoint et hybrides diffèrent réellement

Portail captif Passpoint via l'application du club Hybride
Qui se connecte Tous les participants disposant d'un navigateur Les supporters qui installent l'application et acceptent le profil Les deux groupes, sur des SSID séparés
Étapes d'intégration Rejoindre le SSID, le portail s'ouvre, se connecter ou accepter les conditions Aucune après l'installation unique du profil Aucune pour les supporters sur l'application, portail pour tous les autres
Chiffrement sans fil Aucun sur un SSID ouvert, par équipement avec OWE WPA2-Enterprise ou WPA3-Enterprise Enterprise pour les supporters sur l'application, ouvert ou OWE pour le portail
Charge d'authentification à la mi-temps Chargement de la page du portail plus un échange RADIUS par connexion Échange 802.1X en plusieurs étapes par équipement, aucun chargement de page Charge du portail réduite à hauteur de la part de supporters sur Passpoint
Surface d'activation des sponsors Portail captif et redirection post-connexion Emplacements dans l'application uniquement, pas de portail captif Portail captif pour les visiteurs, emplacements dans l'application pour les membres
Normes API de portail captif RFC 8908 et RFC 8910, OWE RFC 8110 IEEE 802.11u, IEEE 802.1X, EAP-TLS ou EAP-TTLS L'ensemble des éléments ci-dessus
À qui cela convient Salles de concert et de conférence sans application de club Clubs disposant d'une application active et d'espaces membres Clubs disposant d'une base d'abonnés et de visiteurs ponctuels

L'expérience d'intégration

Sur un portail captif, chaque supporter rencontre votre marque au moment de la connexion. C'est ce qui importe le plus pour l'intégration au WiFi invitéWiFi dans une arena. L'assistant de réseau captif (CNA) du téléphone est le mini-navigateur que iOS et Android ouvrent automatiquement lorsqu'ils détectent un portail. Sur un réseau Passpoint, l'appareil se connecte avant même que le supporter n'ait sorti son téléphone de sa poche.

Le modèle de sécurité

Un WiFi invitéSSID ouvert achemine le trafic non chiffré sur les ondes. La technologie OWE (Opportunistic Wireless Encryption, RFC 8110, certifiée par la WiFi Alliance sous le nom d'Enhanced Open) comble cette lacune. Elle chiffre le trafic de chaque appareil sans mot de passe. Passpoint va plus loin : elle utilise WPA2-Enterprise ou WPA3-Enterprise, avec une authentification 802.1X via une méthode EAP. EAP-TLS s'authentifie au moyen d'un certificat. EAP-TTLS encapsule un nom d'utilisateur et un mot de passe dans un tunnel TLS.

Le modèle de données et de sponsors

C'est le compromis que la plupart des fournisseurs négligent. Passpoint supprimant le portail captif, elle supprime également votre emplacement de sponsor le plus visible. Une conception basée uniquement sur un portail maximisera les impressions de sponsors, mais obligera vos supporters les plus fidèles à se connecter à chaque jour de match. Le modèle hybride offre à chaque public l'expérience appropriée.

Comment les plateformes WiFiWiFi des stades absorbent-elles les pics d'authentification à la mi-temps ?

Un réseau de stade échoue rarement en raison de sa capacité totale. Il échoue lorsque des milliers d'appareils demandent une authentification, une adresse IP et une page de portail au cours des mêmes cinq minutes. Il convient donc de concevoir le réseau en tenant compte de cette simultanéité.

Scénario pratique : modélisation d'un pic de mi-temps dans un stade de 40 000 places

Il s'agit d'un modèle de planification et non d'un résultat constaté. Modifiez les hypothèses pour les adapter à vos propres données de connexion.

Situation. Un club de football exploite un stade de 40 000 places. Supposons que 60 % des personnes présentes tentent de se connecter à un moment donné, ce qui représente 24 000 appareils. Supposons que 30 % d'entre eux se connectent pour la première fois au cours des cinq premières minutes de la mi-temps. Cela représente 7 200 nouvelles connexions en 300 secondes, soit 24 par seconde.

Le problème. Supposons que le délai d'expiration de la session soit de 60 minutes. Les supporters qui se sont connectés à leur arrivée avant le match voient leur session expirer et se réauthentifient aux alentours de la mi-temps. Dans le pire des cas, l'ensemble des 24 000 appareils sollicitent la plateforme au cours de cette fenêtre, soit 80 authentifications par seconde.

Ce qui a été fait :

  • Configurer le délai d'expiration de la session pour qu'il soit plus long que la durée totale de l'événement, depuis l'ouverture des portes jusqu'à la sortie des spectateurs, afin que les supporters connectés ne se réauthentifient jamais en milieu de match.
  • Passage de 35 % des supporters connectés à Passpoint via l'application du club.

Résultat. Le pic de la mi-temps passe de 80 à 24 authentifications par seconde, soit une réduction de 70 %. Les chargements de pages du portail chutent de 7 200 à 4 680, car les supporters Passpoint igonrent totalement cette page. Les supporters Passpoint envoient toujours des requêtes RADIUS. Ces requêtes ne génèrent aucun trafic web et les clés de roaming évitent leur répétition.

Maintenez RADIUS rapide et hors de la file d'attente

RADIUS fonctionne sur UDP. Lorsqu'un serveur répond lentement, les points d'accès retransmettent et ces retransmissions s'ajoutent à la charge à l'origine du retard. Le RFC 5080 documente ce comportement. Quatre choix de conception permettent d'éviter cette spirale :

  • Conservez les systèmes lents hors du parcours d'authentification. N'appelez jamais votre CRM ou votre système de billetterie de manière synchrone lors de la connexion. Acceptez la connexion, puis écrivez dans les systèmes en aval de manière asynchrone.
  • Utilisez le roaming rapide. La transition rapide IEEE 802.11r et la mise en cache PMK permettent à un appareil de se déplacer entre les points d'accès sans échange 802.1X complet. Dans un stade où les supporters se rendent dans les coursives à la mi-temps, cela élimine des milliers de requêtes répétées.
  • Contrôlez le trafic de comptabilité. La comptabilité RADIUS (RFC 2866) envoie des mises à jour intermédiaires selon un intervalle fixe. Un intervalle court sur 24 000 sessions ajoute une charge constante exactement au mauvais moment.
  • Faites évoluer le niveau RADIUS horizontalement. Le RADIUS cloud de Purple s'exécute sur une infrastructure avec une disponibilité de 99,999 % (chiffre propre à Purple).

Stoppez l'épuisement du DHCP avant qu'il ne commence

Le DHCP (Dynamic Host Configuration Protocol, RFC 2131) attribue à chaque appareil une adresse IP pour une durée de bail définie. Les téléphones libèrent rarement leur bail lorsqu'ils sortent de la zone de couverture. Les adresses restent donc verrouillées jusqu'à l'expiration du bail.

Scénario appliqué : une aréna avec deux spectacles le même jour

Il s'agit d'un modèle de planification basé sur l'arithmétique des adresses, et non d'un résultat rapporté.

Situation. Une aréna de 15 000 places propose un spectacle en matinée et un autre en soirée, avec des publics différents. Supposons que 70 % de chaque public se connecte, soit 10 500 appareils par spectacle. Le réseau invités utilise une plage /18, qui contient 16 382 adresses utilisables.

Le problème. Avec des baux de 24 heures, les adresses de la matinée restent bloquées pendant le spectacle du soir. La plage s'épuise après 5 882 appareils lors des arrivées du soir. Les derniers arrivés n'obtiennent aucune adresse et aucune connexion.

Ce qui a été fait. L'équipe a réduit la durée du bail pour qu'elle soit inférieure à l'intervalle entre les deux spectacles.

Résultat. La plage n'a plus besoin de couvrir qu'un seul public au moment du pic. Le même /18 dessert 10 500 appareils avec une marge de 5 882 adresses.

Le double empilement (dual-stack) IPv6 soulage davantage la pression IPv4, car les appareils configurent leurs propres adresses via SLAAC (RFC 4862). Confirmez que votre portail et votre walled garden prennent en charge IPv6 avant de vous appuyer dessus.

Allégez le portail

Un portail captif d'un lieu à forte densité doit se charger rapidement sur un réseau radio encombré. Quatre étapes y contribuent :

  • Servez les ressources du portail à partir d'un réseau de diffusion de contenu (CDN).
  • Conservez des images de petite taille.
  • Mettez sur liste d'autorisations uniquement les domaines de connexion sociale que vous proposez réellement.
  • Annoncez l'URL du portail via le portail captif API (RFC 8910 et RFC 8908). Les appareils compatibles trouvent ensuite le portail directement, sans interception HTTP.

Quand un portail captif pour site à forte densité est le bon choix

Choisissez une conception basée uniquement sur un portail lorsque la majorité de votre public ne vient qu'une seule fois. Les concerts, conférences et événements itinérants correspondent à ce modèle. Ils attirent une foule différente chaque soir, et la plupart des participants n'installeront jamais l'application du club.

Le portail constitue également votre meilleur atout sponsoring. Chaque participant qui se connecte voit le portail captif. Vous pouvez enchaîner avec une redirection après connexion vers l'offre d'un partenaire. Le WiFi invité de Purple capture des données first-party consenties à ce moment précis grâce à des opt-ins explicites, où chaque finalité dispose de sa propre case non cochée.

Ces mêmes données de connexion alimentent WiFi Analytics. Il mesure le temps de séjour dans les zones de déambulation, les bars et les boutiques de produits dérivés, vous permettant ainsi de vendre aux sponsors des emplacements appuyés par des données de présence réelles.

Faites fonctionner le portail en mode OWE transition aux côtés d'un SSID ouvert. Les appareils prenant en charge OWE se connectent de manière chiffrée, tandis que les appareils plus anciens peuvent toujours se connecter. Cela comble la majeure partie de l'écart de sécurité entre le portail et Passpoint sans ajouter d'étape pour le supporter.

Le portail s'étend également au-delà de l'enceinte principale. Si votre stade comprend un hôtel sur site, la même identité peut être conservée dans les chambres d'hôtel, comme indiqué sur notre page Hôtels. Une grande boutique de club suit les schémas de notre page Vente au détail, où chaque acheteur qui se connecte devient un profil connu.

Vous avez des questions sur votre configuration spécifique ?

Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.

Quand le WiFi Passpoint pour stade est le bon choix

Choisissez le WiFi Passpoint pour stade pour les supporters qui viennent régulièrement et possèdent déjà un compte chez vous. Les abonnés, les membres et les invités des loges VIP correspondent à ce profil. Ils souhaitent se connecter sans y penser, et vous savez déjà qui ils sont.

L'application du club installe le profil une seule fois. Dès lors, l'appareil se connecte automatiquement à chaque jour de match. iOS installe les identifiants Passpoint via un profil de configuration. Android les installe via ses API Passpoint. Avant de s'associer, l'appareil utilise le protocole ANQP (Access Network Query Protocol, élément de la norme IEEE 802.11u) pour vérifier que le réseau prend en charge ses identifiants.

Quand combiner Passpoint avec un portail captif

Combinez les deux lorsque votre public se divise entre un noyau fidèle et des visiteurs occasionnels. Un club de football correspond généralement à ce modèle : les abonnés, les supporters adverses et les visiteurs d'un jour partagent la même enceinte.

Les membres se connectent via Passpoint et reçoivent du contenu sponsorisé au sein de l'application. Tous les autres passent par le portail. Diffusion de deux SSID invités au maximum, car chaque SSID supplémentaire consomme du temps d'antenne avec ses propres balises.

Vous pouvez également utiliser le portail comme passerelle vers Passpoint. Proposez le téléchargement d'un profil après la première connexion d'un supporter sur le portail. Chaque supporter qui l'installe n'aura plus à utiliser le portail lors des matchs futurs.

Où s'intègre OpenRoaming

OpenRoaming est une fédération de la Wireless Broadband Alliance basée sur Passpoint. Les appareils disposant d'un profil auprès d'un fournisseur d'identité participant se connectent automatiquement et en toute sécurité. Cela couvre les supporters en visite qui ne possèdent pas l'application du club. OpenRoaming ne vous fournit pas les données d'identité propres à votre club ; considérez-le donc comme une couverture plus large, et non comme un remplacement de votre propre profil.

Maintenir le personnel sur un réseau séparé

Les stadiers, les équipes de concessionnaires et les équipes de diffusion ont besoin de leur propre réseau. Les réseaux basés sur l'identité de Purple authentifient le WiFi du personnel via Microsoft Entra ID, Okta ou Google Workspace, avec une révocation automatique des accès dès le départ d'une personne.

Pour les appareils gérés, notre guide expliquant comment utiliser Microsoft Intune pour pousser des certificats WiFi vers les appareils traite de la distribution des certificats. Pour les appareils personnels des prestataires, consultez l'intégration WiFi pour le BYOD : gérer les appareils non gérés dans l'hôtellerie et le commerce de détail.

Segmentez les terminaux de point de vente sur leur propre VLAN (LAN virtuel, un réseau logiquement séparé). Le PCI DSS considère la segmentation comme un moyen de réduire le périmètre de votre environnement de données de cartes de paiement.

Comment les données supporters de première partie atteignent-elles la billetterie et le CRM des sponsors en temps réel ?

Acheminez les données en fonction des événements, et non par lots. Lorsqu'un supporter se connecte, la plateforme résout son identité et vérifie ses choix de consentement. Elle émet ensuite un événement que les systèmes en aval consomment en quelques secondes. La billetterie associe la connexion à une réservation via l'adresse e-mail ou la référence du billet. Le CRM du sponsor ne reçoit que les supporters ayant explicitement donné leur consentement pour ce sponsor précis.

Le consentement est le point de contrôle. L'article 7(1) du UK GDPR vous oblige à démontrer que chaque supporter a donné son consentement. Les directives de l'ICO relatives au consentement stipulent que vous devez nommer tous les responsables de traitement tiers qui s'appuieront sur ce consentement. En vertu du règlement 22 des PECR, le marketing par e-mail d'un sponsor nécessite ce consentement nominatif. Le « soft opt-in » ne couvre que vos propres produits similaires, et non ceux d'un partenaire.

Purple s'intègre aux plateformes CRM et marketing. Il enregistre chaque opt-in séparément, avec sa formulation et son horodatage. Purple est certifié ISO 27001 et Cyber Essentials, conforme au GDPR et CCPA, et constitue un B Corp certifié.

Scénario d'application : une salle omnisports appartenant à une collectivité locale avec un partenaire de naming

Il s'agit d'un modèle de planification basé sur des hypothèses énoncées, et non d'un résultat constaté.

Situation. Une collectivité locale possède une salle omnisports d'une capacité de 8 000 places. Elle accueille des concerts, des conférences et des événements sportifs communautaires. Les promoteurs possèdent les données de billetterie des concerts. Le partenaire de naming de la salle souhaite obtenir des prospects ayant donné leur consentement lors de chaque événement.

Mesures prises :

  • Chaque écran de connexion comporte sa propre case non cochée désignant le partenaire.
  • Une connexion avec consentement déclenche un événement vers le CRM du partenaire.
  • Une connexion sans consentement est transmise uniquement au CRM propre à la salle.
  • Le rapprochement avec la billetterie ne s'exécute que lorsque la salle détient les données de réservation.

Résultat. Supposons que 5 000 participants se connectent lors d'un événement et que 20 % cochent la case partenaire. Le partenaire reçoit alors 1 000 enregistrements consentis par événement. Chaque enregistrement arrive quelques secondes après la connexion, avec sa preuve de consentement jointe. Cela remplace une exportation mensuelle de feuille de calcul, qui fait perdre l'instant vécu dans l'enceinte et fragilise la piste d'audit.

Combien coûte le fonctionnement de chaque approche WiFi dans un stade ?

Les frais de licence ne représentent qu'une partie du coût. Les coûts les plus importants sont l'effort de déploiement, les opérations récurrentes et la bande passante hertzienne.

Captive portal Passpoint via l'application du club Hybride
Facteur de coût de déploiement Conception du portail, walled garden, formulation du consentement, mappage des champs CRM Développement de l'application, configuration du domaine RADIUS, délivrance d'identifiants ou de certificats Les deux déploiements
Facteur de coût de fonctionnement Licence de plateforme, hébergement du portail, liaison internet Licence de plateforme, cycle de vie des identifiants, cycle de publication de l'application Les deux, avec un palier RADIUS partagé
Matériel requis Points d'accès existants de n'importe quel fournisseur répertorié Points d'accès avec Hotspot 2.0 activé dans le firmware Points d'accès compatibles Hotspot 2.0 diffusant deux SSID
Effort par événement Changer les créations du sponsor, réviser la formulation du consentement Aucun travail d'intégration, contenu dans l'application uniquement Créations du portail plus contenu de l'application
Coût de bande passante Un SSID invité Un SSID invité Deux SSID invités

L'approche hybride est la plus coûteuse à déployer, mais elle réduit les risques les jours de match. Chaque supporter que vous faites passer sur Passpoint représente un chargement de page en moins à la mi-temps.

Comment décider pour votre enceinte

Faites correspondre votre situation à la ligne ci-dessous.

Votre situation Recommandation
Pas d'application du club, publics ponctuels tels que des concerts et des conférences Captive portal sur OWE en mode transition, page d'accueil sponsor, opt-ins par choix conscient
Application du club activement utilisée par les abonnés Hybride : Passpoint dans l'application, captive portal pour les visiteurs
Espaces réservés aux membres, loges et sièges premium Profils Passpoint pour les membres, plus accès au portail pour leurs invités
Arena polyvalente où les organisateurs possèdent la billetterie Captive portal avec formulation du consentement par événement et par partenaire
Nombreux supporters visiteurs sans compte club Captive portal plus OpenRoaming pour un accès sécurisé automatique
Stadiers, points de vente et restauration WiFi personnel séparé sur 802.1X avec intégration du fournisseur d'identité et segmentation VLAN

Avant votre premier événement en direct, effectuez trois actions :

  1. Testez la charge de l'architecture un jour sans match.
  2. Rejouez votre modèle de mi-temps par rapport aux journaux réels des points d'accès.
  3. Confirmez que les systèmes en aval acceptent les événements à votre taux de connexion de pointe.

Foire aux questions

Est-ce que Purple fonctionne avec les points d'accès déjà installés dans notre stade ?

Oui, s'ils proviennent de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet. Purple est une superposition cloud indépendante du matériel, elle s'ajoute donc à votre infrastructure existante sans rien remplacer. Vos points d'accès continuent de gérer la radio et l'itinérance. Purple gère le portail captif, le cloud RADIUS, la collecte du consentement et le routage des données. Passpoint nécessite également l'activation de Hotspot 2.0 dans le microprogramme de vos points d'accès.

Faut-il une application du club pour proposer Passpoint aux supporters ?

Non, mais l'application constitue le canal de diffusion le plus fluide. iOS installe les identifiants Passpoint à partir du téléchargement d'un profil de configuration. Android les installe via ses API Passpoint ou un téléchargement web. Vous pouvez donc proposer le profil après la première connexion du supporter au portail captif. L'application l'emporte en matière d'adoption, car elle associe le profil à un compte que le supporter détient déjà et utilise à chaque jour de match.

Pouvons-nous partager les données des supporters issues des connexions WiFi avec nos sponsors conformément au GDPR ?

Oui, avec un consentement distinct et spécifique qui nomme le sponsor. Les directives de l'ICO sur le consentement stipulent que vous devez nommer tous les contrôleurs tiers s'appuyant sur ce consentement. L'article 7(1) vous impose de le démontrer. Selon le PECR, le marketing par e-mail des sponsors nécessite ce consentement, car l'opt-in implicite (soft opt-in) ne couvre que vos propres produits similaires. Les opt-ins de choix éclairé de Purple enregistrent chaque choix séparément, avec sa formulation et son horodatage.

Un portail captif résistera-t-il à des dizaines de milliers de supporters se connectant à la mi-temps ?

Oui, si vous le concevez pour la simultanéité plutôt que pour la capacité totale. Définissez des délais d'expiration de session plus longs que l'événement, afin que les supporters connectés ne se réauthentifient jamais au milieu du match. Conservez les écritures CRM et de billetterie hors du parcours d'authentification. Dimensionnez les pools DHCP pour les pics d'équipements simultanés, avec des baux plus courts que l'intervalle entre les événements. Servez les ressources du portail à partir d'un réseau de diffusion de contenu (CDN). Le passage des membres à Passpoint supprime entièrement le chargement de leurs pages.

Comment migrer depuis notre fournisseur WiFi actuel dans le stade ?

Migrez en modifiant l'emplacement où vos points d'accès envoient le trafic d'authentification et du portail, et non en remplaçant le matériel. Exécutez d'abord Purple sur un SSID de test. Validez le portail, le RADIUS et le routage CRM un jour sans match, puis basculez le SSID de production. Exportez vos enregistrements d'opt-in existants avec leur formulation et leurs horodatages. Le consentement recueilli sous une ancienne formulation peut ne pas couvrir les finalités que vous prévoyez par la suite.

OpenRoaming remplace-t-il notre propre profil Passpoint ?

Non, il complète votre propre profil. OpenRoaming est une fédération de la Wireless Broadband Alliance basée sur Passpoint. Les équipements détendant le profil d'un fournisseur d'identité participant se connectent automatiquement et en toute sécurité, ce qui couvre les supporters visiteurs ne disposant pas de l'application du club. Cela ne vous donne pas les données d'identité propres à votre club. Conservez votre propre profil dans l'application pour les abonnés et utilisez OpenRoaming pour élargir la couverture sécurisée.

Le réseau du portail doit-il être ouvert ou utiliser OWE ?

Utilisez OWE partout où vos points d'accès le prennent en charge, en mode transition aux côtés d'un réseau SSID ouvert. Certified par la WiFi Alliance sous le nom d'Enhanced Open, OWE chiffre le trafic de chaque appareil sans aucun mot de passe. Les supporters présents sur une tribune bondée ne peuvent pas lire les sessions des autres. Le mode transition permet aux appareils plus anciens de rejoindre le réseau ouvert tandis que les appareils compatibles se connectent de manière chiffrée. Confirmez la prise en charge du firmware sur l'ensemble des points d'accès avant le jour du match.

Quels sont les efforts requis pour un déploiement dans un stade ?

La majeure partie des efforts réside dans la configuration et l'intégration, non dans le matériel. Comme Purple s'superpose à vos points d'accès existants, le travail comprend la conception du portail, la rédaction du consentement, la configuration du SSID et du RADIUS, ainsi que le mappage des champs vers les systèmes de billetterie et CRM. Passpoint ajoute le développement de l'application du club et un cycle de test sur l'ensemble des appareils iOS et Android. Planifiez un test de charge complet un jour sans match avant le premier événement en direct.

Définitions clés

Portail captif

La page web qu'un appareil affiche avant d'accorder l'accès à Internet, sur laquelle le supporter se connecte, s'inscrit ou accepte les conditions d'utilisation. Les normes RFC 8910 et RFC 8908 définissent l'architecture API de portail captif, qui permet aux appareils compatibles d'identifier directement l'URL du portail, sans interception HTTP.

Vous la retrouvez sur chaque réseau SSID invité destiné aux visiteurs occasionnels. C'est votre atout sponsor le plus précieux, car chaque participant qui se connecte voit le portail captif, mais elle ajoute également un chargement de page par connexion lors de la mi-temps.

Passpoint (Hotspot 2.0)

Une certification de la WiFi Alliance basée sur la norme IEEE 802.11u, qui permet à un appareil de détecter et de rejoindre automatiquement un réseau au moyen d'identifiants stockés dans un profil, en s'authentifiant avec la norme IEEE 802.1X via WPA2-Enterprise ou WPA3-Enterprise.

Vous la mettez à disposition des abonnés et des membres via l'application du club. Elle élimine les étapes d'intégration et le chargement des pages du portail, mais supprime également le portail captif en tant qu'emplacement publicitaire pour les sponsors.

IEEE 802.1X

La norme IEEE de contrôle d'accès basée sur les ports. Elle vérifie chaque appareil auprès d'un serveur RADIUS à l'aide d'une méthode EAP avant d'accorder l'accès au réseau.

Elle constitue le socle du Passpoint pour les supporters et du WiFi du personnel pour les agents de sécurité et les points de vente. Chaque échange 802.1X comportant plusieurs étapes, elle influe directement sur votre charge d'authentification à la mi-temps.

RADIUS

Remote Authentication Dial-In User Service, défini dans la RFC 2865 et fonctionnant sur UDP. La RFC 5080 documente la manière dont les réponses lentes déclenchent des retransmissions par les points d'accès, et la RFC 2866 définit l'accounting RADIUS et ses mises à jour intermédiaires.

Votre niveau de serveur RADIUS détermine si le réseau résiste à un pic de trafic pendant la mi-temps. Faites-le évoluer horizontalement, maintenez les systèmes lents hors de son chemin et contrôlez l'intervalle d'accounting.

OWE (Ouvert amélioré)

Opportunistic Wireless Encryption, spécifié dans la RFC 8110 et certifié par la WiFi Alliance sous le nom d'Enhanced Open. Il chiffre le trafic de chaque appareil sur les ondes, sans mot de passe.

Exécutez-le en mode transition aux côtés d'un SSID ouvert afin que les appareils compatibles se connectent de manière chiffrée tout en permettant aux appareils plus anciens d'accéder au réseau. Cela comble la majeure partie de l'écart de sécurité entre le portail et le Passpoint.

EAP-TLS et EAP-TTLS

Méthodes Extensible Authentication Protocol utilisées au sein du 802.1X. Le EAP-TLS authentifie à l'aide d'un certificat ; EAP-TTLS encapsule un nom d'utilisateur et un mot de passe dans un tunnel TLS.

Vous en choisissez une lorsque vous configurez les identifiants Passpoint ou la délivrance de certificats pour l'application du club, ce qui détermine l'effort de développement et le coût du cycle de vie des identifiants.

ANQP

Access Network Query Protocol, qui fait partie de la norme IEEE 802.11u. Un appareil Passpoint l'utilise avant de s'associer pour vérifier que le réseau prend en charge ses identifiants.

C'est la raison pour laquelle le téléphone d'un membre se connecte automatiquement les jours de match. Les requêtes ANQP nécessitent l'activation d'Hotspot 2.0 dans le firmware de vos points d'accès pour aboutir.

Transition rapide IEEE 802.11r

Un amendement à la norme IEEE 802.11 qui, associé au nettoyage du cache PMK, permet à un appareil de passer d'un point d'accès à un autre sans échange 802.1X complet.

Dans une tribune où les supporters se déplacent vers les buvettes à la mi-temps, elle élimine des milliers de requêtes RADIUS répétées au moment du pic.

Bail DHCP

Durée pendant laquelle le serveur DHCP (Dynamic Host Configuration Protocol, RFC 2131) attribue une adresse IP à un appareil. Les téléphones libèrent rarement leurs baux lorsqu'ils quittent la zone de couverture, les adresses restent donc bloquées jusqu'à leur expiration.

La durée du bail détermine si votre plage d'adresses couvre un ou deux publics. Lors des journées comprenant plusieurs événements, définissez une durée plus courte que l'intervalle entre les représentations.

OpenRoaming

Une fédération de la Wireless Broadband Alliance basée sur Passpoint. Les appareils disposant d'un profil délivré par un fournisseur d'identité participant se connectent automatiquement et de manière sécurisée.

Utilisez-le pour offrir un accès sécurisé aux supporters visiteurs qui ne disposent pas de l'application du club. Il ne vous fournit pas les données d'identité de votre propre club, il vient donc compléter votre profil Passpoint plutôt que de le remplacer.

Consentements explicites et actifs

Le modèle de consentement de Purple, dans lequel chaque finalité dispose de sa propre case non cochée, enregistrée avec sa formulation et son horodatage. Il prend en charge l'obligation de prouver le consentement énoncée à l'article 7(1) du UK GDPR et le consentement requis par l'article 22 de la directive PECR pour le marketing par e-mail des sponsors.

C'est le point de contrôle du partage des données avec les sponsors. Seuls les supporters qui cochent une case nommant un sponsor spécifique sont intégrés dans le CRM de ce dernier.

Exemples concrets

Un club de football disposant d'un stade de 40 000 places modélise un pic de connexions à la mi-temps. Avec un délai d'expiration de session de 60 minutes, les sessions des supporters qui se sont connectés à leur arrivée avant le match expirent vers la mi-temps. Dans le pire des cas, les 24 000 appareils connectés s'authentifient tous en l'espace de cinq minutes, soit 80 par seconde.

Il s'agit d'un modèle de planification et non d'un résultat constaté. L'équipe a défini un délai d'expiration de session supérieur à la durée totale de l'événement, de l'ouverture des portes jusqu'à la sortie, afin que les supporters connectés ne se réauthentifient jamais en cours de match. Elle a également basculé 35 % des supporters connectés vers le Passpoint via l'application du club. Le pic de la mi-temps passe ainsi de 80 à 24 authentifications par seconde, soit une réduction de 70 %, ne couvrant plus que les 7 200 premières connexions. Le chargement des pages du portail baisse de 7 200 à 4 680, car les utilisateurs du Passpoint n'affichent pas la page. Les utilisateurs du Passpoint envoient toujours des requêtes RADIUS, mais celles-ci n'entraînent aucun trafic web et les clés d'itinérance évitent qu'elles ne se répètent.

Une salle de spectacle de 15 000 places accueille une matinée et un spectacle en soirée avec des publics différents, chacun amenant 10 500 appareils connectés. Le réseau invité utilise une plage /18 comprenant 16 382 adresses exploitables et des baux DHCP de 24 heures. Les adresses attribuées l'après-midi restent donc réservées et la plage est saturée dès l'arrivée des 5 882 premiers appareils en soirée.

Il s'agit d'un modèle de planification basé sur le calcul d'adresses et non d'un résultat constaté. L'équipe a réduit la durée du bail DHCP pour qu'elle soit inférieure à l'intervalle entre les deux spectacles. Les adresses attribuées lors de la matinée expirent désormais avant l'arrivée du public du soir, de sorte que la plage n'a plus besoin de couvrir qu'un seul public au moment du pic. La même plage /18 dessert 10 500 appareils tout en conservant une marge de 5 882 adresses, et les retardataires ne rencontrent plus d'échec d'attribution d'adresse. L'utilisation du protocole IPv6 en double pile avec SLAAC peut réduire davantage la pression sur l'IPv4, après avoir vérifié que le portail et le jardin fermé prennent en charge l'IPv6.

Une collectivité locale possède une salle polyvalente de 8 000 places accueillant des concerts, des conférences et des événements sportifs communautaires. Les organisateurs possèdent les données de billetterie des concerts, et le partenaire de naming souhaite obtenir des prospects ayant donné leur consentement lors de chaque événement.

Il s'agit d'un modèle de planification reposant sur des hypothèses définies. Chaque écran de connexion comporte sa propre case non cochée mentionnant le partenaire. Une connexion avec consentement déclenche l'envoi d'un événement vers le CRM du partenaire ; une connexion sans consentement est transmise uniquement au CRM de la salle. Le rapprochement avec la billetterie s'effectue uniquement lorsque la salle détient les données de réservation. Si 5 000 participants se connectent et que 20 % d'entre eux coche la case du partenaire, ce dernier reçoit 1 000 enregistrements consentis par événement, chacun arrivant quelques secondes après la connexion avec sa preuve de consentement jointe. Cela remplace l'export mensuel d'un fichier tableur, qui fait perdre l'opportunité de l'interaction sur place et affaiblit la piste d'audit au sens de l'article 7(1) du UK GDPR.

Questions fréquentes

Est-ce que Purple fonctionne avec les points d'accès déjà installés dans notre stade ?

Oui, s'ils proviennent de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet. Purple est une solution cloud indépendante du matériel, qui s'adosse à votre infrastructure existante sans aucun remplacement nécessaire. Vos points d'accès continuent de gérer la radio et le roaming. Purple gère le portail captif, le RADIUS cloud, la collecte de consentement et le routage des données. Passpoint nécessite également l'activation d'Hotspot 2.0 dans le firmware de vos points d'accès.

Avons-nous besoin d'une application du club pour proposer Passpoint aux supporters ?

Non, mais l'application reste le canal de déploiement le plus fluide. iOS installe les identifiants Passpoint via le téléchargement d'un profil de configuration. Android les installe via ses API Passpoint ou un téléchargement web. Vous pouvez donc proposer le profil après la première connexion du supporter au portail captif. L'application offre un meilleur taux d'adoption, car elle associe le profil à un compte que le supporter possède déjà et utilise les jours de match.

Pouvons-nous partager les données supporters issues des connexions WiFi avec nos sponsors sous le GDPR ?

Oui, avec un consentement distinct et spécifique désignant nommément le sponsor. Les directives de l'ICO relatives au consentement stipulent que vous devez nommer tout responsable du traitement tiers s'appuyant sur ce consentement. L'article 7(1) exige que vous puissiez en apporter la preuve. En vertu de la réglementation PECR, le marketing par e-mail des sponsors nécessite ce consentement, car l'option d'inscription tacite (soft opt-in) ne couvre que vos propres produits similaires. Les formulaires d'inscription à choix éclairé de Purple enregistrent chaque choix séparément, avec son libellé et son horodatage.

Un portail captif peut-il supporter la connexion simultanée de dizaines de milliers de supporters à la mi-temps ?

Oui, à condition de concevoir votre infrastructure pour la simultanéité plutôt que pour la capacité totale. Définissez des délais d'expiration de session plus longs que l'événement, afin que les supporters connectés n'aient pas à se réauthentifier en plein match. Évitez d'intégrer l'écriture dans le CRM et la billetterie sur le parcours d'authentification. Dimensionnez les pools DHCP pour le pic d'équipements simultanés, avec des baux plus courts que l'intervalle entre les événements. Servez les éléments du portail depuis un réseau de diffusion de contenu (CDN). Le transfert des membres vers Passpoint supprime totalement leurs chargements de pages.

Comment migrer depuis notre fournisseur de WiFi de stade actuel ?

Effectuez la migration en modifiant le destinataire du trafic d'authentification et du portail envoyé par vos points d'accès, et non en remplaçant le matériel. Exécutez d'abord Purple sur un SSID de test. Validez le portail, le RADIUS et le routage CRM un jour sans match, puis basculez le SSID de production. Exportez vos enregistrements d'opt-in existants avec leurs libellés et horodatages. Le consentement recueilli selon les anciens libellés peut ne pas couvrir vos futurs objectifs.

Est-ce que OpenRoaming remplace notre propre profil Passpoint ?

Non, il complète votre propre profil. OpenRoaming est une fédération de la Wireless Broadband Alliance basée sur Passpoint. Les appareils disposant du profil d'un fournisseur d'identité participant se connectent automatiquement et de manière sécurisée, ce qui couvre les supporters visiteurs ne possédant pas l'application du club. Cela ne vous donne pas accès aux données d'identité propres à votre club. Conservez votre propre profil dans l'application pour les abonnés et utilisez OpenRoaming pour élargir la couverture sécurisée.

Le réseau du portail doit-il être ouvert ou utiliser l'OWE ?

Utilisez l'OWE partout où vos points d'accès le prennent en charge, en mode transition aux côtés d'un réseau SSID ouvert. L'OWE, certifié par la WiFi Alliance sous le nom d'Enhanced Open, chiffre le trafic de chaque appareil sans mot de passe. Dans une allée bondée, les supporters ne peuvent pas lire les sessions des autres. Le mode transition permet aux appareils plus anciens de rejoindre le réseau ouvert tandis que les appareils compatibles se connectent de manière chiffrée. Confirmez la prise en charge du firmware sur l'ensemble des points d'accès avant le jour du match.

Combien d'efforts nécessite le déploiement dans un stade ?

L'essentiel de l'effort réside dans la configuration et l'intégration, non dans le matériel. Comme Purple s'adosse à vos points d'accès existants, le travail couvre le design du portail, la rédaction des consentements, la configuration du SSID et du RADIUS, ainsi que le mappage des champs vers la billetterie et les systèmes CRM. Passpoint ajoute le développement de l'application du club et une phase de test sur les appareils iOS et Android. Planifiez un test de charge complet un jour sans match avant le premier événement en direct.

Continuer la lecture de cette série

WiFi invité natif Ruckus SmartZone et RUCKUS One WiFi vs plateformes de portail captif externe

Déterminez si l'accès Ruckus WiFi invité natif SmartZone ou RUCKUS One couvre votre parc, ou si un portail captif externe tel que Purple vaut son abonnement. Vous pouvez associer vos sites, vos fournisseurs et la propriété de vos données à une recommandation claire. Vous comprendrez également l'intégration de WISPr, de l'interface Northbound et de RADIUS, ainsi que le coût de chaque option.

Lire le guide →

Aruba WiFi invité centralisé WiFi ou plateformes de portail captif dédiées : comparaison des CRM, Passpoint et rapports

Utilisez ce comparatif pour choisir entre Cloud Guest natif de Aruba Central, ClearPass Guest et une plateforme cloud dédiée telle que Purple pour votre parc HPE Aruba. Vous pouvez adapter chaque option en fonction du responsable du WiFi invité WiFi, de la destination des données visiteurs, de la façon dont vous enregistrez le consentement GDPR, du besoin de réauthentification Passpoint pour les visiteurs réguliers et du coût de chaque option sur trois ans.

Lire le guide →

Portails Juniper Mist invité WiFi vs surcouches de portail captif externe : comparaison multi-sites

Vous serez en mesure de décider, site par site, si le portail invité Juniper Mist natif est suffisant ou si une surcouche de portail captif externe justifie sa licence. Vous saurez également comment rediriger un WLAN Mist vers une surcouche, configurer la comptabilité RADIUS et conserver un registre unique d'invités lors d'une migration progressive depuis des contrôleurs hérités.

Lire le guide →

Vous avez des questions sur votre configuration spécifique ?

Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.