WiFi Landing Page vs. Splash Page : quelle est la différence ?

Résumé Exécutif

Pour les équipes informatiques d'entreprise gérant des sites à haute densité — des établissements de l' Hôtellerie aux parcs de points de vente du Retail — les termes "splash page" et "landing page" sont fréquemment confondus. Les traiter comme interchangeables dans l'architecture réseau entraîne des parcours utilisateurs interrompus, des failles de sécurité et des opportunités manquées de capture de données.

À un niveau fondamental, la Splash Page est le gardien de pré-authentification. Elle existe au sein de l'environnement contraint d'un Walled Garden, responsable de la vérification d'identité, de l'authentification MAC et du consentement légal en vertu du GDPR et de la norme PCI DSS. La WiFi Landing Page est la destination post-authentification. Elle fonctionne sur l'internet ouvert, exploitant les données capturées lors de la connexion pour offrir des expériences personnalisées, stimuler les téléchargements d'applications et générer un ROI mesurable grâce aux intégrations de Guest WiFi .

Ce guide détaille les spécifications techniques, les méthodologies de déploiement et les modes de défaillance courants associés à la conception de Captive Portal — permettant aux architectes réseau de créer des réseaux d'accès invités robustes, conformes et générateurs de revenus pour tous les types de sites.

Analyse Technique Approfondie

L'Architecture du Captive Portal

Un Captive Portal intercepte le trafic HTTP/HTTPS des clients non authentifiés et les redirige vers une interface web désignée. Ce mécanisme repose sur une combinaison de détournement DNS, de redirection HTTP 302 et d'authentification RADIUS — les implémentations modernes adoptant de plus en plus la norme RFC 8908 (Identification du Captive Portal dans le DHCP et les annonces de routeur) pour permettre une découverte native du Captive Portal au niveau de l'OS sans interception HTTP fragile.

Au sein de cette architecture, la Splash Page et la Landing Page jouent des rôles fondamentalement différents à différents moments du cycle de vie de l'authentification.

1. La Splash Page (État de Pré-Authentification)

Lorsqu'un appareil s'associe à un SSID, le contrôleur sans fil le place dans un VLAN non authentifié. Tout le trafic sortant est intercepté et redirigé vers le nom d'hôte du Captive Portal. Le Captive Network Assistant (CNA) du système d'exploitation — un pseudo-navigateur spécialisé et sandboxé intégré à iOS, Android et Windows — détecte le Captive Portal et affiche la Splash Page.

Contraintes Techniques de l'Environnement CNA :

Le CNA n'est pas un navigateur complet. Il fonctionne avec des restrictions importantes qui ont un impact direct sur ce qui peut être déployé sur une Splash Page :

• Les cookies et le stockage local sont souvent bloqués ou sévèrement limités
• Les frameworks JavaScript complexes peuvent ne pas s'exécuter
• Les ressources externes (polices, scripts, images) ne peuvent se charger que si leurs domaines sont mis sur liste blanche dans le Walled Garden
• Le CNA se fermera automatiquement s'il détecte que l'appareil a obtenu un accès internet avant que l'utilisateur n'ait terminé l'authentification- La persistance de la session après la fermeture du CNA n'est pas fiable

Fonctions principales de la Splash Page :

Compte tenu de ces contraintes, la Splash Page doit être conçue exclusivement pour : l'authentification (connexion sociale via OAuth, SMS OTP, identifiants basés sur un formulaire ou intégration de programme de fidélité) ; l'acceptation des Conditions Générales ; la capture du consentement GDPR ; et l'enregistrement de l'adresse MAC pour une future connexion fluide.

Recommandation de charge utile : Maintenez la Splash Page en dessous de 1 Mo. Utilisez du CSS inline, évitez les bibliothèques de polices externes et minimisez le JavaScript. Chaque dépendance externe nécessite une entrée correspondante dans la liste blanche du Walled Garden — chacune représentant à la fois une charge de maintenance et une exposition potentielle en matière de sécurité.

2. La Landing Page (État post-authentification)

Une fois l'authentification réussie, le serveur RADIUS renvoie un message Access-Accept. Le contrôleur sans fil met à jour la session du client, migrant l'appareil vers un VLAN authentifié avec un routage internet complet. Le Walled Garden est supprimé. Le contrôleur — ou la plateforme de Captive Portal basée sur le cloud — émet une redirection HTTP 302 vers la Landing Page WiFi.

À ce stade, l'appareil fonctionne avec un navigateur complet et un accès internet illimité. La Landing Page peut exploiter l'ensemble des capacités du développement web moderne :

• Contenu dynamique et personnalisé basé sur le profil utilisateur capturé sur la Splash Page
• Instrumentation analytique complète (Google Analytics, pixels de suivi personnalisés, webhooks CRM)
• Médias riches incluant de la vidéo, des cartes interactives et des tableaux de bord de fidélité
• Invites de téléchargement d'applications avec routage par lien profond (deep-link)
• Promotions ciblées basées sur les données de WiFi Analytics , y compris la fréquence des visites, le temps de séjour et la zone du point de vente

Fonctions principales de la Landing Page : Engagement marketing, affichage du programme de fidélité, promotions ciblées, navigation dans le point de vente et appels à l'action axés sur la conversion.

Flux d'authentification : De bout en bout

La séquence ci-dessous illustre le flux complet depuis l'association au SSID jusqu'à la diffusion de la Landing Page :

1. L'appareil client s'associe au SSID invité
2. Le contrôleur attribue l'appareil à un VLAN non authentifié
3. Le client tente une requête HTTP ; le contrôleur l'intercepte et émet une redirection 302 vers la Splash Page
4. Le CNA charge la Splash Page (ressources hébergées uniquement sur des domaines autorisés dans le Walled Garden)
5. L'utilisateur effectue l'authentification et accepte les Conditions Générales
6. La plateforme de Captive Portal envoie un Access-Request au serveur RADIUS
7. Le RADIUS renvoie un Access-Accept ; le contrôleur reçoit un message de changement d'autorisation (CoA)
8. Le contrôleur migre le client vers le VLAN authentifié
9. La plateforme de Captive Portal émet une redirection 302 vers la Landing Page WiFi
10. Le navigateur du client charge la Landing Page complète sur l'internet ouvert Cette séparation claire des responsabilités — l'authentification sur la Splash Page, l'engagement sur la Landing Page — constitue le fondement architectural de tout déploiement de WiFi invité bien conçu.

Guide de mise en œuvre

Le déploiement d'une solution de WiFi invité évolutive et de classe entreprise nécessite de séparer le plan de contrôle du réseau de la couche d'expérience utilisateur. Les étapes suivantes fournissent un cadre de déploiement neutre vis-à-vis des fournisseurs, applicable aux infrastructures Cisco Meraki, Aruba, Ruckus et Ubiquiti.

Étape 1 : Configuration du Walled Garden

Configurez votre contrôleur LAN sans fil (WLC) pour n'autoriser que les domaines et les plages d'adresses IP strictement nécessaires au fonctionnement de la Splash Page. Cela comprend généralement :

• Le nom d'hôte de la plateforme de Captive Portal (par exemple, portal.purple.ai)
• Les domaines des fournisseurs d'identité pour la connexion via les réseaux sociaux (par exemple, accounts.google.com, graph.facebook.com)
• Les domaines des passerelles SMS en cas d'utilisation de l'authentification OTP
• Tous les éléments de CDN utilisés par la Splash Page elle-même

Évitez de trop élargir la liste d'autorisation. Chaque entrée supplémentaire augmente la surface d'attaque de votre réseau de pré-authentification et complique la maintenance continue à mesure que les plages d'adresses IP changent.

Étape 2 : Gestion des certificats SSL

Configurez le WLC avec un certificat SSL valide et publiquement approuvé pour le nom d'hôte de redirection du Captive Portal. Les certificats auto-signés déclencheront des avertissements de sécurité du navigateur dans le CNA, incitant les utilisateurs à abandonner le processus de connexion. L'expiration des certificats est l'une des principales causes d'interruption du WiFi invité — mettez en œuvre un renouvellement automatisé via Let's Encrypt ou votre plateforme de gestion des certificats.

Étape 3 : Optimisation du CNA

Concevez la Splash Page spécifiquement pour l'environnement CNA. Utilisez du CSS inline, évitez les frameworks JavaScript externes et testez sur plusieurs versions d'iOS et d'Android. Le comportement du CNA d'iOS, en particulier, change d'une version majeure du système d'exploitation à l'autre — maintenez une matrice de tests de régression couvrant au moins les deux versions majeures les plus récentes des deux plateformes.

Étape 4 : Logique de redirection post-authentification

Configurez la redirection post-authentification pour prendre en charge les URL dynamiques des Landing Pages. Le serveur RADIUS peut renvoyer des attributs spécifiques au fournisseur (VSA) ou la plateforme de Captive Portal peut utiliser le profil de l'utilisateur authentifié pour construire une URL personnalisée. Cela permet la segmentation — un nouveau visiteur reçoit une offre de bienvenue, tandis qu'un membre du programme de fidélité ayant le statut Gold accède à un tableau de bord personnalisé.

Étape 5 : Intégration des outils d'analyse

Équipez la Landing Page avec votre suite d'outils d'analyse. L'utilisateur étant désormais sur l'internet ouvert avec un navigateur complet, les outils d'analyse standard fonctionnent normalement. Intégrez-les à votre CRM pour créer un profil client unifié qui combine les données de session WiFi avec l'historique des achats, le statut de fidélité et les indicateurs d'engagement marketing.

Pour une comparaison détaillée entre les architectures de Captive Portal basées sur le cloud et sur site, consultez Cloud-Based vs. On-Premise Captive Portal: Which Is Right for Your Business? .

Bonnes pratiques

Dissociez l'authentification et le marketing. La décision architecturale la plus importante consiste à utiliser la Splash Page strictement pour l'accès sécurisé et le consentement, et à déplacer tous les actifs marketing vers la Landing Page. Cela améliore les taux de connexion, réduit les tickets de support et simplifie les audits de conformité.

Tirez parti du MAC Authentication Bypass pour les utilisateurs récurrents. Pour les appareils connus, le MAC Authentication Bypass (MAB) élimine complètement la Splash Page, redirigeant les utilisateurs directement vers une Landing Page personnalisée. Cela améliore considérablement l'expérience utilisateur pour les visiteurs réguliers dans les secteurs de l' Hôtellerie et du Commerce de détail . Assurez-vous que votre politique de confidentialité couvre explicitement le suivi persistant des appareils.

Adoptez des architectures axées sur le cloud. Tout comme le secteur des réseaux a évolué vers le WAN défini par logiciel pour une gestion centralisée — comme détaillé dans The Core SD WAN Benefits for Modern Businesses — les plateformes de Captive Portal doivent être hébergées dans le cloud. Cela permet une gestion centralisée sur l'ensemble des sites distribués, des mises à jour rapides du contenu sans modification du micrologiciel du contrôleur, et une intégration transparente avec les CRM externes et les plateformes d'automatisation marketing.

Implémentez la RFC 8908 pour la compatibilité avec les OS modernes. La détection native du Captive Portal via la RFC 8908 réduit la dépendance à l'interception HTTP, améliorant ainsi la fiabilité sur les versions récentes d'iOS et d'Android qui imposent de plus en plus la navigation HTTPS uniquement.

Maintenez un calendrier d'audit du Walled Garden. Examinez les entrées du Walled Garden chaque trimestre. Les plages IP des principaux fournisseurs d'identité changent sans préavis. Les entrées obsolètes qui ne se résolvent plus créent des échecs d'authentification ; les entrées manquantes bloquent les flux d'authentification légitimes.

Dépannage et atténuation des risques

La boucle de connexion. Si un utilisateur s'authentifie mais est redirigé à plusieurs reprises vers la Splash Page, vérifiez que le message RADIUS Access-Accept atteint bien le contrôleur et que le client reçoit correctement un bail DHCP sur le VLAN authentifié. Vérifiez également que le port CoA (Change of Authorization) (UDP 3799) n'est pas bloqué par un pare-feu intermédiaire.

Fermeture prématurée du CNA. Si le CNA se ferme avant que l'utilisateur ne puisse s'authentifier, l'appareil a probablement détecté un accès Internet prématurément. Cela peut se produire si le Walled Garden est trop permissif, autorisant par inadvertance un routage Internet complet avant la fin de l'authentification. Examinez les entrées du Walled Garden pour détecter des plages CIDR trop larges.

Erreurs d'interception HTTPS. Les navigateurs modernes imposent le protocole HTTP Strict Transport Security (HSTS). Si un utilisateur tente de naviguer vers un domaine préchargé HSTS avant de s'authentifier, le navigateur bloquera la redirection vers le Captive Portal. Implémentez la RFC 8908 pour activer la détection native du Captive Portal, ou demandez aux utilisateurs de naviguer vers un domaine non-HSTS pour déclencher l'assistant de connexion réseau (CNA).

Échecs des scripts tiers sur la Splash Page. Si les équipes marketing ont ajouté des pixels de suivi ou des scripts d'analyse à la Splash Page, ceux-ci échoueront silencieusement dans l'environnement CNA si leurs domaines ne sont pas sur liste blanche. La solution correcte consiste à supprimer entièrement ces scripts de la Splash Page et à les redéployer sur la Landing Page, où ils fonctionneront correctement.

Écarts de conformité GDPR. Assurez-vous que le mécanisme de consentement sur la Splash Page répond aux exigences de l'article 7 du GDPR — le consentement doit être donné librement, spécifique, éclairé et univoque. Les cases de consentement pré-cochées ne sont pas conformes. Conservez un registre d'audit des consentements pendant une durée minimale de trois ans.

ROI & Impact Commercial

Une architecture Splash/Landing Page correctement implémentée transforme le WiFi invité d'un centre de coûts en un actif mesurable générateur de revenus. L'argument financier s'articule autour de trois dimensions.

Capture de données et intelligence de première partie. En optimisant la Splash Page, les établissements augmentent les taux de connexion et le volume de données de première partie capturées. Dans les environnements de la Santé et des Transports , ces données soutiennent l'analyse opérationnelle — flux de fréquentation, temps de présence par zone et prévisions de pics de demande — permettant des décisions d'allocation de ressources avec des économies de coûts mesurables.

Attribution directe des revenus. La Landing Page est la principale surface de conversion. Un déploiement dans un stade peut utiliser la Landing Page pour promouvoir la commande de nourriture et de boissons directement depuis le siège, corrélant ainsi l'accès au réseau avec les revenus transactionnels. Un hôtel peut proposer des réservations de spa ou des surclassements de chambre. Un détaillant peut diffuser des promotions spécifiques à une zone, basées sur les données de localisation en temps réel issues de WiFi Analytics .

Fidélisation et rétention. Les expériences personnalisées sur la Landing Page — basées sur le profil de l'utilisateur capturé sur la Splash Page — augmentent l'engagement envers les programmes de fidélité. Les utilisateurs récurrents qui bénéficient d'une expérience d'accueil personnalisée affichent une durée de session et une fréquence de visites répétées nettement supérieures à celles des utilisateurs confrontés à une page d'atterrissage générique.

Les indicateurs clés de performance (KPI) mesurables pour un déploiement WiFi invité doivent inclure : le taux de connexion WiFi (cible >70 % des visiteurs de l'établissement), le taux de capture de données (cible >85 % des utilisateurs connectés), le taux de clic sur l'appel à l'action (CTA) principal de la Landing Page, et les revenus directs attribués aux promotions générées par le WiFi.

Écoutez le podcast complet du briefing technique ci-dessous :