Guest WiFi कैप्टिव पोर्टल के साथ WeChat प्रमाणीकरण को एकीकृत करना

सारांश

जब चीनी विज़िटर आपके एंटरप्राइज़ नेटवर्क से कनेक्ट होते हैं और उन्हें एक ऐसा कैप्टिव पोर्टल मिलता है जो केवल ईमेल, Facebook या क्रेडेंशियल कोड प्रदान करता है, तो तुरंत बाधा उत्पन्न होती है। Tencent के 2024 के आंकड़ों के अनुसार, WeChat के पास 1.38 बिलियन मासिक सक्रिय उपयोगकर्ता हैं। Guest WiFi में WeChat लॉगिन को एकीकृत करना केवल एक सुविधा नहीं है, बल्कि बिना किसी बाधा के इस जनसांख्यिकी का फर्स्ट-पार्टी डेटा कैप्चर करने के लिए एक तकनीकी आवश्यकता है।

यह गाइड कैप्टिव पोर्टल में WeChat OAuth 2.0 प्रमाणीकरण को एकीकृत करने के तकनीकी आर्किटेक्चर का विवरण देती है। यह मानक मोबाइल ब्राउज़र और WeChat इन-ऐप ब्राउज़र दोनों का समर्थन करने के लिए आवश्यक डुअल-प्लेटफ़ॉर्म पंजीकरण की व्याख्या करती है, डेटा संग्रह के लिए snsapi_base और snsapi_userinfo स्कोप के बीच के अंतर का मूल्यांकन करती है, और यह बताती है कि नेटवर्क एक्सेस लागू करने के लिए RADIUS Change of Authorization (CoA) या MAC Authentication Bypass का उपयोग कैसे किया जाए। इसमें Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet इंफ्रास्ट्रक्चर में बड़े पैमाने पर इस सुविधा को तैनात करने के लिए आवश्यक सुरक्षा कॉन्फ़िगरेशन और अनुपालन निर्देशों—GDPR और चीन के PIPL (व्यक्तिगत सूचना सुरक्षा कानून)—को भी शामिल किया गया है।

तकनीकी गहन विश्लेषण: WeChat OAuth 2.0 आर्किटेक्चर

कैप्टिव पोर्टल एक अप्रमाणित डिवाइस से HTTP ट्रैफ़िक को रोकता है और इसे पोर्टल सर्वर पर होस्ट किए गए लॉगिन पेज पर रीडायरेक्ट करता है। WeChat प्रमाणीकरण जोड़ने से इस फ़्लो में OAuth 2.0 प्रोटोकॉल का उपयोग करके एक थर्ड-पार्टी प्रमाणीकरण प्रदाता शामिल हो जाता है, जो कि Google, Microsoft Entra ID और Okta द्वारा फ़ेडरेटेड प्रमाणीकरण के लिए उपयोग किए जाने वाले मानक के समान है।

प्रमाणीकरण फ़्लो इस प्रकार काम करता है: विज़िटर SSID से कनेक्ट होता है। एक्सेस पॉइंट या वायरलेस कंट्रोलर अप्रमाणित सत्र का पता लगाता है और HTTP ट्रैफ़िक को कैप्टिव पोर्टल URL पर रीडायरेक्ट करता है। विज़िटर पोर्टल पेज पर WeChat लॉगिन चुनता है। पोर्टल सर्वर ब्राउज़र को open.weixin.qq.com पर WeChat प्रमाणीकरण एंडपॉइंट पर रीडायरेक्ट करता है, जिसमें AppID, रीडायरेक्ट URI, code का रिस्पॉन्स टाइप और अनुरोधित स्कोप पास किया जाता है। WeChat अपने स्वयं के सर्वर पर प्रमाणीकरण को संभालता है। यदि विज़िटर WeChat इन-ऐप ब्राउज़र के भीतर snsapi_base स्कोप का उपयोग कर रहा है, तो प्रमाणीकरण बिना किसी बाधा के होता है—कोई सहमति प्रॉम्प्ट दिखाई नहीं देता है। यदि snsapi_userinfo का उपयोग किया जाता है, तो WeChat एक सहमति पेज प्रदर्शित करता है। इसके बाद, WeChat एक अस्थायी ऑथराइजेशन कोड के साथ पोर्टल के रीडायरेक्ट URI पर वापस रीडायरेक्ट करता है。पोर्टल सर्वर api.weixin.qq.com/sns/oauth2/access_token को कॉल करके और AppID, AppSecret, ऑथराइजेशन कोड और authorization_code का ग्रांट टाइप पास करके इस ऑथराइजेशन कोड को Access Token से बदलता है। WeChat एक Access Token, Refresh Token, उपयोगकर्ता की OpenID और स्वीकृत स्कोप लौटाता है। यदि snsapi_userinfo स्वीकृत किया गया है, तो सर्वर उपयोगकर्ता का उपनाम, प्रोफ़ाइल चित्र, लिंग और शहर प्राप्त करने के लिए दूसरा API कॉल करता है。

डुअल-प्लेटफ़ॉर्म पंजीकरण आवश्यकताएं

अधिकांश कार्यान्वयन पंजीकरण चरण में विफल हो जाते हैं। WeChat दो अलग-अलग डेवलपर प्लेटफ़ॉर्म संचालित करता है, और एंटरप्राइज़-ग्रेड परिनियोजन के लिए आमतौर पर दोनों की आवश्यकता होती है।

WeChat इन-ऐप ब्राउज़र के भीतर पोर्टल तक पहुँचने वाले विज़िटर्स के लिए, आपके पास Official Accounts प्लेटफ़ॉर्म पर एक सर्विस अकाउंट होना चाहिए। सब्सक्रिप्शन अकाउंट काम नहीं करेगा—इसमें OAuth वेब पेज ऑथराइजेशन अनुमतियों की कमी होती है। Android पर Chrome या iOS पर Safari जैसे मानक मोबाइल ब्राउज़र से पोर्टल तक पहुँचने वाले विज़िटर्स के लिए, आपके पास Open Platform पर एक वेबसाइट एप्लिकेशन होना चाहिए, जो snsapi_login स्कोप का उपयोग करता है और उपयोगकर्ताओं को स्कैन करने के लिए एक QR कोड प्रदर्शित करता है।

व्यावहारिक रूप से, अधिकांश स्थान परिनियोजन दोनों का उपयोग करते हैं। एक होटल का विज़िटर Chrome में पोर्टल खोल सकता है, एक QR कोड देख सकता है, उसे WeChat से स्कैन कर सकता है और प्रमाणित कर सकता है। या वे सीधे WeChat के भीतर एक लिंक पर क्लिक कर सकते हैं, इन-ऐप ब्राउज़र में प्रवेश कर सकते हैं, 和通过 snsapi_base 进行无感知认证。

स्कोप चयन: डेटा कैप्चर बनाम उपयोगकर्ता बाधा

आपके द्वारा अनुरोधित स्कोप यह निर्धारित करता है कि आप कौन सा डेटा एकत्र करते हैं और विज़िटर को कितनी बाधा का सामना करना पड़ता है। यह अनुपालन प्रभावों के साथ एक व्यावहारिक निर्णय बिंदु है。

snsapi_base केवल OpenID लौटाता है—जो कि आपके Official Account के भीतर उस उपयोगकर्ता का विशिष्ट पहचानकर्ता है। इसके लिए उपयोगकर्ता सहमति प्रॉम्प्ट की आवश्यकता नहीं होती है। विज़िटर के लिए प्रमाणीकरण अदृश्य होता है। यह उन लौटने वाले विज़िटर्स के लिए आदर्श है जिनकी प्रोफ़ाइल आपके पास पहले से है, या उन परिदृश्यों के लिए जहाँ आप बिना किसी बाधा के एक्सेस को प्राथमिकता देते हैं। GDPR और PIPL डेटा न्यूनीकरण सिद्धांतों के तहत, snsapi_base को सही ठहराना आसान है。

snsapi_userinfo OpenID के साथ-साथ उपयोगकर्ता का उपनाम, प्रोफ़ाइल चित्र, लिंग और शहर लौटाता है। इसके लिए एक स्पष्ट सहमति पेज की आवश्यकता होती है। यह पहली बार आने वाले विज़िटर्स के पंजीकरण के लिए उपयुक्त है जहाँ आपको एक प्रोफ़ाइल बनाने की आवश्यकता होती है, जिसे आपके पोर्टल पेज पर एक अनुपालन सहमति परत के साथ जोड़ा जाता है。

मल्टी-प्रॉपर्टी परिनियोजन के लिए UnionID

OpenID किसी विशिष्ट Official Account के साथ उपयोगकर्ता के संयोजन के लिए अद्वितीय होता है। 20 संपत्तियों वाले एक होटल समूह, जिसमें प्रत्येक संपत्ति का अपना Official Account है, को एक ही विज़िटर के लिए 20 अलग-अलग OpenID दिखाई देंगे। UnionID इस समस्या को हल करता है। यह एक एकल पहचानकर्ता है जो एक ही Open Platform खाते के तहत जुड़े सभी Official Accounts और ऐप्स में उपयोगकर्ता का प्रतिनिधित्व करता है। अपने Official Accounts को अपने Open Platform खाते से लिंक करें, और OAuth प्रतिक्रिया में UnionID वापस आ जाएगा। यह मल्टी-प्रॉपर्टी विज़िटर पहचान का आधार है。

कार्यान्वयन गाइड

网络强制执行机制

OAuth टोकन प्राप्त करना केवल पहचान साबित करता है, यह नेटवर्क को नहीं खोलता है। ट्रैफ़िक को अनुमति देने के लिए आपको कंट्रोलर को एक सिग्नल भेजना होगा。

RADIUS Change of Authorization (CoA)（RFC 3576 में परिभाषित）अनुशंसित एंटरप्राइज़-ग्रेड दृष्टिकोण है। सफल OAuth सत्यापन के बाद, पोर्टल सर्वर नेटवर्क कंट्रोलर को एक CoA अनुरोध भेजता है। कंट्रोलर डिवाइस को प्री-ऑथराइजेशन VLAN से गेस्ट VLAN में स्थानांतरित करता है। यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet के साथ काम करता है。

MAC Authentication Bypass (MAB) डिवाइस के MAC पते को RADIUS डेटाबेस में एक अधिकृत क्लाइंट के रूप में पंजीकृत करता है। कंट्रोलर उस MAC के आधार पर एक्सेस की अनुमति देता है। MAB को लागू करना आसान है लेकिन यह अविश्वसनीय है: आधुनिक iOS और Android डिवाइस डिफ़ॉल्ट रूप से MAC पतों को रैंडमाइज़ करते हैं, जिससे पुन: कनेक्ट होने पर सत्र का जुड़ाव टूट जाता है。

Purple का Guest WiFi प्लेटफ़ॉर्म इस संक्रमण को स्वचालित करता है। WeChat OAuth पूरा होने के बाद, Purple का क्लाउड ओवरले अंतर्निहित हार्डवेयर को उपयुक्त CoA या MAB सिग्नल भेजता है, जिससे मैन्युअल VLAN कॉन्फ़िगरेशन की आवश्यकता समाप्त हो जाती है。

सुरक्षा कॉन्फ़िगरेशन

निम्नलिखित तीन कॉन्फ़िगरेशन गैर-परक्राम्य हैं。

1. AppSecret को सुरक्षित रखें। AppSecret कभी भी क्लाइंट-साइड JavaScript में दिखाई नहीं देना चाहिए। इसे आपके सर्वर पर रहना चाहिए। यदि यह उजागर हो जाता है, तो हमलावर आपके एप्लिकेशन का रूप धारण कर सकते हैं और आपकी ओर से WeChat API को कॉल कर सकते हैं。
2. CSRF सुरक्षा लागू करें। एक क्रिप्टोग्राफ़िक रूप से रैंडम state मान उत्पन्न करें, इसे उपयोगकर्ता सत्र में संग्रहीत करें, और WeChat रीडायरेक्ट वापस आने पर इसे सत्यापित करें। यह RFC 6749 में परिभाषित क्रॉस-साइट अनुरोध जालसाजी (CSRF) हमलों को रोकता है。
3. सभी रीडायरेक्ट URI वेरिएंट पंजीकृत करें。 WeChat आपके द्वारा पंजीकृत डोमेन के विरुद्ध रीडायरेक्ट URI को सत्यापित करता है। 40029 त्रुटि (अमान्य कोड) को रोकने के लिए आपके द्वारा उपयोग किए जाने वाले प्रत्येक सबडोमेन और पथ वेरिएंट (स्टेजिंग वातावरण सहित) को पंजीकृत करें。

इन-ऐप ब्राउज़र डिटेक्शन

WeChat का इन-ऐप ब्राउज़र एक उपयोगकर्ता एजेंट (user agent) स्ट्रिंग सेट करता है जिसमें MicroMessenger शामिल होता है। आपके कैप्टिव पोर्टल को इस स्ट्रिंग का पता लगाना चाहिए और तदनुसार रूट करना चाहिए: इन-ऐप ब्राउज़र Official Accounts फ़्लो का उपयोग करता है, और मानक ब्राउज़र Open Platform QR कोड फ़्लो का उपयोग करता है। इस स्ट्रिंग का पता लगाने में विफलता के परिणामस्वरूप टूटी हुई अनुभव या प्रमाणीकरण त्रुटियां होती हैं。

सर्वोत्तम अभ्यास और अनुपालन

GDPR अनुपालन

यदि आप यूरोपीय विज़िटर्स की सेवा करते हैं या यूरोप में काम करते हैं, तो GDPR आपके द्वारा WeChat OAuth के माध्यम से एकत्र किए जाने वाले डेटा पर लागू होता है। आपको प्रसंस्करण के लिए एक वैध कानूनी आधार की पहचान करनी होगी—आमतौर पर सहमति या वैध हित। प्रमाणीकरण से पहले, आपको कैप्टिव पोर्टल पर एक स्पष्ट गोपनीयता नोटिस प्रदान करना होगा। आपको डेटा एक्सेस और विलोपन अनुरोधों का जवाब देना होगा। विस्तृत अनुपालन ढांचे के लिए, अनुपालन प्लेबुक: GDPR और गेस्ट WiFi डेटा गोपनीयता देखें。

PIPL अनुपालन

当您处理中国公民的个人数据时，中国《个人信息保护法》（PIPL）适用。与 GDPR 类似，PIPL 要求明确的目的限制、数据最小化以及书面的合法依据。在数据最小化原则下，snsapi_base 比 snsapi_userinfo 更容易证明其合理性。无论您收集什么数据，请在上线前记录您的法律依据和保存期限。

网络隔离

गेस्ट WiFi ट्रैफ़िक को अपने कॉर्पोरेट नेटवर्क से अलग करने के लिए VLAN अलगाव का उपयोग करें। WeChat के माध्यम से प्रमाणित विज़िटर्स को एक समर्पित गेस्ट VLAN पर रखा जाना चाहिए, जिसमें केवल इंटरनेट तक पहुँच हो—आंतरिक प्रणालियों तक कोई पहुँच न हो। यह कार्डधारक डेटा पर्यावरण अलगाव के लिए PCI-DSS आवश्यकताओं और सामान्य कॉर्पोरेट सुरक्षा प्रथाओं के अनुरूप है। अलगाव आर्किटेक्चर पर अधिक जानकारी के लिए, बैंडविड्थ प्रबंधन: 2026 व्यावहारिक गाइड देखें。

फ़ॉलबैक प्रमाणीकरण

यदि WeChat का API अनुपलब्ध है, तो आपके पोर्टल को एक वैकल्पिक लॉगिन विधि पर रीडायरेक्ट करना चाहिए। विज़िटर्स को खाली स्क्रीन न दिखाएं। ईमेल या SMS का फ़ॉलबैक प्रदान करना निरंतरता सुनिश्चित करता है। यह परिवहन और स्वास्थ्य सेवा वातावरण में स्थानों के लिए विशेष रूप से महत्वपूर्ण है, जहाँ नेटवर्क कनेक्टिविटी एक सेवा दायित्व है。

वास्तविक केस स्टडीज

आतिथ्य: लक्जरी होटल समूह

लंदन के एक 400 कमरों वाले लक्जरी होटल में मुख्य भूमि चीन से बड़ी संख्या में मेहमान आते थे। उनके मौजूदा कैप्टिव पोर्टल के लिए ईमेल पते और SMS सत्यापन की आवश्यकता थी। चीनी मोबाइल नंबर अक्सर यूरोपीय ऑपरेटरों से SMS प्राप्त करने में विफल रहते थे, और कई मेहमानों के पास अपने उपकरणों पर स्थानीय ईमेल कॉन्फ़िगर नहीं था। इसके परिणामस्वरूप पोर्टल ड्रॉप-ऑफ दर 60% तक पहुँच गई。

होटल ने Official Accounts प्लेटफ़ॉर्म पर एक सर्विस अकाउंट और Open Platform पर एक वेबसाइट एप्लिकेशन पंजीकृत किया। पोर्टल ने MicroMessenger उपयोगकर्ता एजेंट का पता लगाया और इन-ऐप ब्राउज़र उपयोगकर्ताओं के लिए snsapi_base को ट्रिगर किया—उन्हें बिना किसी सहमति पेज के तीन सेकंड से भी कम समय में कनेक्ट कर दिया। Chrome या Safari के माध्यम से पहुँचने वाले मेहमानों को एक QR कोड दिखाया गया। बाद की यात्राओं पर, सिस्टम उसी OpenID को पहचानता है और मेहमानों को बिना पासवर्ड के प्रमाणित करता है। होटल का CRM सिस्टम मेहमान की वापसी को रिकॉर्ड करता है, जिससे लक्षित प्री-आगमन संचार सक्षम होता है। होटल के वातावरण में WiFi तैनात करने के बारे में अधिक जानकारी के लिए, आतिथ्य उद्योग देखें。

खुदरा: शॉपिंग मॉल एनालिटिक्स

एक बड़ा शॉपिंग मॉल किरायेदार मिश्रण और विपणन निर्णयों को सूचित करने के लिए चीनी उपभोक्ताओं से जनसांख्यिकीय डेटा कैप्चर करना चाहता था। उन्हें मूल शहर, लिंग और यात्रा की आवृत्ति जानने की आवश्यकता थी। अकेले snsapi_base पर्याप्त नहीं था—उन्हें snsapi_userinfo की आवश्यकता थी। पोर्टल ने पूर्ण userinfo स्कोप का अनुरोध किया। मेहमानों को WeChat सहमति पेज दिखाया गया और उन्होंने अनुमति पर क्लिक किया। मॉल के विश्लेषणात्मक प्लेटफ़ॉर्म, जो Purple के WiFi Analytics के साथ एकीकृत है, को सत्यापित जनसांख्यिकीय डेटा प्राप्त हुआ। शनिवार की दोपहर को, 40% WiFi उपयोगकर्ता एक विशिष्ट क्षेत्र से थे। इस डेटा ने सीधे तौर पर यह तय करने में मदद की कि पॉप-अप इवेंट आयोजित करने के लिए किन ब्रांडों से संपर्क किया जाना चाहिए। खुदरा WiFi परिनियोजन के बारे में अधिक जानकारी के लिए, खुदरा उद्योग देखें。

समस्या निवारण और सामान्य गलतियाँ

WeChat OAuth कैप्टिव पोर्टल परिनियोजन में पांच सबसे आम विफलता मोड इस प्रकार हैं:

重定向 URI 不匹配（错误码 40029）。 微信会根据已注册的域名验证重定向 URI。任何子域名、路径或协议的不匹配都会导致 code 交换失败。请注册所有变体，包括暂存（staging）环境。

AppSecret एक्सपोज़र। क्लाइंट-साइड कोड में AppSecret को एम्बेड करना सबसे गंभीर सुरक्षा गलती है। सभी टोकन एक्सचेंज लॉजिक को सर्वर-साइड पर स्थानांतरित करें。

CSRF सुरक्षा का अभाव। state पैरामीटर सत्यापन को अनदेखा करने से पोर्टल क्रॉस-साइट अनुरोध जालसाजी हमलों के प्रति संवेदनशील हो जाता है। प्रत्येक सत्र के लिए एक क्रिप्टोग्राफ़िक रूप से रैंडम मान उत्पन्न करें और कॉलबैक पर इसे सत्यापित करें。

应用内浏览器检测失败。 未能在用户代理中检测到 MicroMessenger 意味着应用内浏览器用户将被提供错误的 OAuth 流程，从而导致报错。

MAC पता रैंडमाइजेशन MAB सत्रों को बाधित करता है। आधुनिक मोबाइल ऑपरेटिंग सिस्टम MAC पतों को रैंडमाइज़ करते हैं। MAB-आधारित प्रवर्तन का उपयोग करने वाले विज़िटर्स पुन: कनेक्ट होने पर अपना सत्र खो देंगे। विश्वसनीय सत्र प्रबंधन के लिए RADIUS CoA पर अपग्रेड करें। सुरक्षित WiFi कॉन्फ़िगरेशन पर मार्गदर्शन के लिए, सुरक्षित WiFi क्या है: 2026 एंटरप्राइज़ आवश्यक गाइड देखें。

निवेश पर रिटर्न (ROI) और व्यावसायिक प्रभाव

Guest WiFi में WeChat लॉगिन तैनात करने के तीन मापने योग्य प्रभाव हैं。

बेहतर प्रमाणीकरण दरें। SMS सत्यापन विफलता बिंदुओं और ईमेल इनपुट आवश्यकताओं को समाप्त करने से सफलतापूर्वक कनेक्ट होने वाले चीनी विज़िटर्स का अनुपात बढ़ जाता है। WeChat के बिना कैप्टिव पोर्टल के लिए, 60% ड्रॉप-ऑफ दर एक वास्तविक बेसलाइन है。

फर्स्ट-पार्टी डेटा गुणवत्ता। WeChat-सत्यापित प्रोफ़ाइल में एक सत्यापित OpenID शामिल होता है, और snsapi_userinfo के माध्यम से, सीधे उस सोशल प्लेटफ़ॉर्म से जनसांख्यिकीय विशेषताएँ प्राप्त होती हैं। इस डेटा को थर्ड-पार्टी कुकीज़ पर भरोसा किए बिना लक्षित विपणन को चलाने के लिए विश्लेषणात्मक प्लेटफ़ॉर्म में फीड किया जा सकता है。

कम सहायता ओवरहेड। निर्बाध लॉगिन फ्रंट डेस्क और IT सहायता कर्मचारियों के लिए अंतर्राष्ट्रीय विज़िटर्स के कनेक्शन समस्याओं को हल करने के कॉल वॉल्यूम को कम करता है。

Purple 80,000 से अधिक स्थानों पर काम करता है और इसने 2024 में 440 मिलियन लॉगिन संसाधित किए (Purple आंतरिक डेटा)। प्लेटफ़ॉर्म ISO 27001 प्रमाणित है, GDPR और CCPA के अनुरूप है, और 99.999% अपटाइम बनाए रखता है। खुदरा और आतिथ्य स्थानों के लिए, WeChat प्रमाणीकरण नेटवर्क को लागत केंद्र से एक विश्वसनीय फर्स्ट-पार्टी डेटा कैप्चर चैनल में बदल देता है。