Software Captive Portal white label: cosa dovrebbero verificare MSP e rivenditori prima di firmare

Il software Captive Portal white label consente a un MSP o rivenditore di vendere pagine di accesso WiFi per ospiti con il proprio marchio. Prima di firmare, verifica sei aspetti fondamentali: reale architettura multi-tenant con amministrazione delegata, personalizzazione del brand su dominio, e-mail e report, supporto per ogni vendor di access point installato, un modello di fatturazione a tutela del margine, registro dei consensi GDPR di proprietà del cliente e API documentate.

Quale modello di Captive Portal white label scegliere?

Un Captive Portal è la pagina web mostrata a un dispositivo prima che la rete conceda l'accesso a Internet. L'IETF ne definisce l'architettura nello standard RFC 8952, mentre l'RFC 8908 definisce un'API che segnala ai dispositivi la presenza di un portale.

Il software Captive Portal white label consente di vendere tale pagina di login con il tuo marchio. Anche la console e i report sottostanti mantengono la tua identità visiva.

Nel mercato dei rivenditori predominano tre modelli commerciali, che si differenziano per tre aspetti:

• chi detiene il contratto con il cliente
• il livello di copertura del tuo brand
• la separazione dei dati di ciascun cliente

Scegli prima il modello, poi valuta i vendor al suo interno.

Modello	Il tuo brand appare su	Isolamento dati cliente	Titolare contratto cliente	Fatturazione tipica	Indicato per
White label completo, multi-tenant	Pagina di login, dominio personalizzato, console di amministrazione, e-mail, SMS e report	Tenant separato per ogni cliente, con ruoli amministrativi e chiavi API dedicati	Tu	All'ingrosso per sede o per access point, definisci tu il prezzo finale	MSP con un servizio di assistenza e un portafoglio di clienti con sedi fisiche
Rivenditore in co-branding	Solo pagina di login ed e-mail; console e report mostrano il vendor	Sotto-account o cartelle all'interno di un unico account condiviso	Tu o il vendor	Prezzo di listino del vendor meno uno sconto rivenditore	Rivenditori che aggiungono il WiFi ospiti a una vendita hardware
Segnalazione o contratto diretto	Brand del vendor ovunque; appari come installatore	Account del vendor di proprietà del cliente	Il vendor	Prezzo di listino del vendor; guadagni una commissione di segnalazione o ricavi dai servizi	Partner che gestiscono progetti una tantum senza un service desk di supporto

La maggior parte degli MSP con un service desk e diversi clienti con sedi fisiche sceglie il primo modello. Il resto di questa guida presuppone tale scelta e mostra come verificare le offerte dei vendor.

Dove si differenziano davvero le piattaforme Captive Portal white label

Ogni dimostrazione di un vendor mostra una pagina di login personalizzata. Le vere differenze si nascondono sotto la superficie, in sei aree specifiche. Insieme determinano il tuo margine, la tua esposizione in materia di conformità e il carico di supporto.

Reale architettura multi-tenant e amministrazione delegata

Una reale architettura multi-tenant prevede un singolo cliente per ogni tenant. Dati, impostazioni, account amministrativi e chiavi API sono isolati a livello di piattaforma. Una cartella all'interno di un account condiviso non è un tenant. Se un ruolo configurato in modo errato espone l'elenco degli ospiti di un cliente a un altro, la responsabilità della violazione sarà tua.

Testa l'amministrazione delegata in un tenant di prova, non su una presentazione. Hai bisogno di almeno quattro ruoli:

• il tuo super admin
• un amministratore cliente
• un responsabile della struttura limitato a un solo sito
• un ruolo di marketing in sola lettura

Un direttore generale di un hotel dovrebbe vedere solo la propria struttura e niente altro.

Richiedi il single sign-on tramite SAML 2.0, lo standard OASIS per l'accesso federato. Deve funzionare con Microsoft Entra ID, Okta e Google Workspace.

SCIM 2.0 (System for Cross-domain Identity Management, RFC 7643 e RFC 7644) automatizza la creazione e la rimozione degli account amministratore. Senza di esso, un dipendente che lascia la tua azienda cliente mantiene l'accesso alla console finché qualcuno non se ne ricorda. Verifica che i log di audit siano conservati per ciascun tenant e possano essere esportati, in modo da poter mostrare al cliente chi ha modificato cosa.

Livello di personalizzazione del brand: dominio, e-mail del mittente, portale e report

Il livello di personalizzazione del brand è il punto in cui la maggior parte delle promesse di "white label" fallisce. Valuta ogni elemento che un ospite o un cliente potrebbe vedere:

• Dominio della pagina di login. Il Captive Portal deve caricarsi dal tuo dominio o da quello del tuo cliente. Il fornitore deve rinnovare automaticamente il relativo certificato TLS.
• Console di amministrazione. Il tuo logo, i tuoi colori e il tuo URL devono essere presenti nella schermata di accesso. Una console con il brand del fornitore dice al tuo cliente esattamente chi chiamare al momento del rinnovo.
• E-mail del mittente. I codici di verifica e le e-mail di marketing devono essere inviati dal tuo dominio. Ciò richiede che SPF (RFC 7208), DKIM (RFC 6376) e DMARC (RFC 7489) siano allineati al tuo dominio, altrimenti i messaggi finiranno nello spam.
• ID mittente SMS. I messaggi di testo di verifica devono mostrare il tuo nome o quello della struttura, mai quello del fornitore.
• Report. Le esportazioni pianificate e le dashboard devono riportare il tuo brand, senza alcuna filigrana del fornitore. Se rivendi WiFi Analytics, il report mensile è il prodotto che il tuo cliente vede effettivamente.
• Link di supporto e pagine di stato. I link della console devono puntare alla tua knowledge base o a nessuna parte.

Anche i modelli per singolo tenant sono importanti. Una catena di pub e un comune desiderano flussi di accesso, formule di consenso e lingue differenti.

Copertura hardware nell'intera base installata

I tuoi clienti possiedono già degli access point, e raramente provengono da un unico fornitore. Richiedi l'elenco dei dispositivi supportati indicando il nome e la piattaforma di gestione: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. "Tutti i principali fornitori" è un segnale di allarme, non una risposta.

Il supporto significa molto di più di un semplice reindirizzamento. Per ogni fornitore, conferma quattro funzionalità:

• reindirizzamento al Captive Portal esterno
• autenticazione RADIUS (Remote Authentication Dial-In User Service, RFC 2865)
• accounting RADIUS (RFC 2866) per i dati di sessione
• configurazione del walled garden per gli accessi tramite social e sistemi di pagamento

Richiedi una guida all'integrazione pubblicata per ciascun fornitore. Quindi esegui dei test sul firmware effettivamente utilizzato dai tuoi clienti.

La copertura hardware ti protegge anche durante i cicli di aggiornamento. Un overlay cloud si posiziona al di sopra della rete, consentendo al cliente di cambiare fornitore di access point senza modificare l'esperienza degli ospiti. Questo è fondamentale per qualsiasi infrastruttura che stia affrontando la pianificazione del passaggio dagli access point WiFi 6 a WiFi 7 quando Cisco Meraki WiFi 6 raggiunge la fine della vendita.

Il Guest WiFi di Purple funziona come un overlay cloud agnostico rispetto all'hardware su tutti e otto i fornitori sopra indicati. Per saperne di più consulta Perché il tuo prossimo aggiornamento WiFi non richiede nuovo hardware.

Alcuni clienti vorranno più del semplice accesso ospiti. Chiedi se la piattaforma gestisce l'802.1X, lo standard IEEE per il controllo dell'accesso alla rete basato su porte. Chiedi anche dell'iPSK (identity pre-shared key), che fornisce a ciascun dispositivo o persona la propria chiave WiFi. Se aggiungi l'accesso per il personale, tieni a portata di mano la guida Risoluzione dei problemi di autenticazione 802.1X in Windows 11: guida per l'IT aziendale.

Passpoint, chiamato anche Hotspot 2.0, consente agli ospiti che ritornano di riconnettersi automaticamente senza passare da un portale. OpenRoaming, la federazione della Wireless Broadband Alliance, fa lo stesso attraverso le reti partecipanti. Una piattaforma priva di queste funzionalità limita ciò che potrai vendere in seguito.

Registri del consenso GDPR di proprietà del tuo cliente

Ai sensi del GDPR, il tuo cliente, l'gestore della struttura, è normalmente il titolare del trattamento dei dati degli ospiti (Articolo 4(7)). Tu agisci come responsabile del trattamento e il fornitore della piattaforma come sub-responsabile. L'Articolo 28 richiede un contratto scritto per ogni anello di tale catena. L'Articolo 28(2) vieta a un responsabile di ricorrere a un sub-responsabile senza la previa autorizzazione scritta del titolare.

L'Articolo 7(1) impone al titolare di dimostrare il consenso. Ciò significa un registro completo per ogni ospite:

• marca temporale (timestamp)
• il testo esatto mostrato
• la versione dell'informativa sulla privacy
• il canale
• le finalità accettate

Un semplice indicatore "marketing accettato" non è sufficiente. Il Criterio 32 aggiunge che le caselle pre-spuntate non costituiscono consenso. Per il marketing via e-mail e SMS nel Regno Unito, il consenso deve soddisfare anche i Privacy and Electronic Communications Regulations (PECR).

Verifica tre punti contrattuali prima di firmare:

1. Il fornitore non vanta alcuna pretesa di utilizzare i dati degli ospiti per i propri scopi. Se lo fa, diventa un titolare del trattamento e l'informativa sulla privacy del tuo cliente deve specificarlo.
2. L'Articolo 28(3)(g) richiede la restituzione o la cancellazione dei dati personali al termine del contratto. Richiedi per iscritto il formato di esportazione, le tempistiche e i costi.
3. Il fornitore pubblica un elenco dei sub-responsabili e ti notifica eventuali modifiche, in modo da poter trasferire l'avviso ai clienti.

Purple integra opzioni di consenso consapevole nel flusso di login, in modo che ogni ospite scelga attivamente il marketing. Purple è certificato ISO 27001 e conforme al GDPR.

Accesso a API e webhook

Le API determinano quanta parte del tuo servizio puoi costruire. Richiedi un'API REST documentata con chiavi limitate a un singolo tenant. In questo modo, una chiave compromessa non potrà accedere a tutti i clienti. Gli endpoint cumulativi per tenant, strutture e modelli di portale consentono di automatizzare l'onboarding tramite script anziché farlo manualmente con i clic.

I webhook inviano eventi, come il login di un ospite o una nuova adesione, al CRM del tuo cliente in tempo reale. Verifica tre cose:

• i payload siano firmati, in modo che il destinatario possa verificare il mittente
• gli invii non riusciti effettuino riprove automatiche
• i limiti di frequenza e qualsiasi costo aggiuntivo per l'accesso all'API siano confermati per iscritto

Escalation del supporto

In una piattaforma white label, il supporto di primo livello sei tu. La struttura si rivolge a te e il fornitore non deve mai contattare direttamente il tuo cliente. Ciò rende la procedura di secondo livello del fornitore la tua clausola di servizio più importante.

Inserisci questi elementi nel contratto:

• livelli di gravità definiti
• tempi di risposta definiti per ciascun livello
• un referente dedicato al partner
• un canale diretto con l'engineering per gli incidenti che causano un fermo impianto

L'Articolo 33(2) del GDPR richiede che un responsabile del trattamento notifichi un data breach al titolare senza ingiustificato ritardo. Il contratto con il tuo fornitore deve garantirti un preavviso sufficientemente rapido da permetterti di adempiere a tale obbligo nei confronti del tuo cliente.

Richiedi anche prove riguardanti la scalabilità. Purple ha gestito 440 milioni di accessi nel 2024 in oltre 80.000 strutture attive distribuite in più di 90 Paesi (dati interni Purple).

Quando una piattaforma white label completamente multi-tenant è la scelta giusta

Scegli un white label completo quando gestisci la relazione con il cliente a 360 gradi. Ciò significa solitamente che si verificano tre condizioni:

• gestisci un servizio di service desk
• fatturi ai clienti con cadenza mensile
• gestisci diversi clienti con strutture in vari settori

Il WiFi per ospiti diventa così una voce ricorrente all'interno della tua fattura.

È ideale anche per ambienti hardware misti. Un'unica piattaforma indipendente dall'hardware sostituisce diverse console specifiche dei singoli produttori. I tuoi tecnici apprendono un solo sistema e i report inviati a ciascun cliente condividono la stessa struttura.

Scenario reale: un gruppo alberghiero regionale con due fornitori hardware

Situazione. Un MSP gestiva il WiFi per ospiti di un gruppo regionale composto da 14 hotel. Nove hotel utilizzavano Cisco Meraki. Cinque hotel, acquisiti l'anno precedente, utilizzavano Ruckus con 210 access point totali. La soluzione di Captive Portal selezionata dall'MSP supportava unicamente Meraki.

Azione intrapresa. L'MSP ha orientato la scelta verso piattaforme indipendenti dall'hardware e ha avviato un progetto pilota in due hotel coprendo entrambi i produttori. Ha creato un unico tenant per il gruppo, configurando ciascun hotel come struttura. Ai direttori degli hotel sono stati assegnati ruoli limitati alla singola struttura. Al responsabile marketing del gruppo è stato fornito un accesso in sola lettura alla reportistica di tutti i 14 hotel.

Risultato (dati a titolo illustrativo). Tutti i 210 access point Ruckus sono rimasti in funzione senza dover essere sostituiti. Il gruppo ha adottato un unico modello di login, un'unica formula per il consenso e un unico report mensile per tutte le proprietà.

Per ulteriori informazioni sul settore, consulta Hotels e WiFi nei ristoranti: una guida per la copertura e la sicurezza.

Quando un contratto co-branded o diretto è la scelta giusta

Un white label completo non sempre giustifica i costi di gestione. Potresti vendere il WiFi per ospiti come modulo aggiuntivo una tantum a un progetto hardware. In tal caso, un account co-branded o una segnalazione risulta più semplice, evitando di dover fornire supporto di primo livello per un prodotto che non desideri gestire direttamente.

Un contratto diretto si adatta a grandi clienti singoli dotati di un reparto IT interno, come una catena della grande distribuzione nel settore Retail. Il loro ufficio acquisti potrebbe preferire la stipula diretta del contratto con il fornitore. Inoltre, i clienti che operano in settori regolamentati, come la sanità (Healthcare), effettuano spesso valutazioni autonome dei propri fornitori.

Continui a guadagnare su installazione, gestione della rete e rilievi del sito. La guida WiFi Site Surveys: A Practical Planning Guide copre questo lavoro di preparazione.

Come viene calcolato il prezzo del software captive portal white label

Dominano tre unità di fatturazione: per sede, per access point e per ospite. La maggior parte dei fornitori vende all'ingrosso e tu stabilisci il prezzo al dettaglio. Il tuo margine dipende meno dallo sconto e più dall'allineamento della tua unità di fatturazione a quella del fornitore.

Modello di fatturazione	Paghi per	Prevedibilità dei costi	Rischio principale per te	Ideale per
Per sede	Ogni struttura, indipendentemente dalle dimensioni	Elevata: cambia solo quando una struttura si aggiunge o viene rimossa	Le sedi piccole costano come quelle grandi	Catene di strutture simili: pub, ristoranti fast food, negozi nel centro città
Per access point	Ogni access point gestito	Elevata: cambia solo con i progetti hardware	La densificazione o un aggiornamento a WiFi 7 aggiunge licenze	Stadi, centri congressi e altre strutture con picchi di affluenza
Per ospite	Ogni ospite autenticato al mese	Bassa: varia in base all'affluenza	I picchi dovuti ad eventi creano fatture inaspettate se non previsti limiti	Progetti pilota, strutture stagionali e sedi a basso traffico

La struttura più sicura fattura al tuo cliente con la stessa unità con cui il fornitore fattura a te. Se paghi per access point ma addebiti per sede, ogni progetto di densificazione riduce il tuo margine.

Prima di firmare, verifica altri quattro costi:

• durate minime del contratto
• clausole di aumento annuale
• costi per l'accesso API o per tenant aggiuntivi
• verifica tramite SMS, che spesso non è inclusa nella licenza

Esempio pratico: un centro congressi con picchi legati agli eventi

Situazione. Un rivenditore ha preventivato il WiFi per ospiti per un centro congressi con 120 access point. L'affluenza mensile variava da circa 3.000 visitatori nei mesi più tranquilli a 45.000 durante una fiera importante.

Azione intrapresa. Il primo fornitore applicava un prezzo per ospite. Il rivenditore ha modellato 12 mesi di affluenza e ha scoperto che la fattura variava di un fattore pari a 15. È quindi passato a un fornitore che fatturava per access point e ha addebitato alla struttura un canone mensile fisso.

Risultato (cifre illustrative). La voce relativa alle licenze è rimasta fissa a 120 access point ogni mese, riducendo a zero la variazione mensile dei costi. La struttura ha preventivato una cifra annuale fissa. Il margine del rivenditore ha smesso di dipendere dal calendario degli eventi.

Come decidere per le tue strutture: domande per RFP e segnali di allarme

Invia a tutti i fornitori selezionati le stesse domande e richiedi risposte scritte. Quindi verifica quelle più importanti in un tenant di prova.

Domande per RFP da inviare

1. Ogni cliente è un tenant separato con dati, impostazioni, account admin e chiavi API isolati?
2. Quali ruoli admin esistono e un ruolo può essere limitato a una sola sede?
3. Supportate il single sign-on SAML 2.0 con Microsoft Entra ID, Okta e Google Workspace, oltre al provisioning SCIM?
4. Il captive portal, la console, l'email del mittente, l'ID mittente SMS e i report possono riportare tutti il nostro brand?
5. Chi rilascia e rinnova i certificati TLS per i domini personalizzati?
6. Quali produttori di access point supportate e pubblicate una guida all'integrazione per ciascuno di essi?
7. Supportate l'autenticazione e l'accounting RADIUS, 802.1X, iPSK, Passpoint e OpenRoaming?
8. Quali sono l'unità di fatturazione, la durata minima e l'aumento annuale?
9. Quanto addebitate per SMS, accesso API o tenant aggiuntivi?
10. Utilizzate i dati degli ospiti per scopi personali?
11. Cosa contiene un registro del consenso e in quali formati può esportarlo il nostro cliente?
12. Come e quando restituite o eliminate i dati alla fine del contratto?
13. Dove si trova il vostro elenco dei sub-responsabili del trattamento e come notificate le modifiche?
14. Quali sono i vostri livelli di gravità e gli obiettivi di risposta, e con quale rapidità ci notificherete una violazione?
15. Qual è l'ambito del vostro certificato ISO 27001?

Campanelli d'allarme che dovrebbero bloccare una firma

Area	Come si presenta una buona soluzione	Campanello d'allarme
Multi-tenancy	Tenant separato per cliente con dati e chiavi API isolati	I clienti risiedono in cartelle all'interno di un unico account condiviso
Branding	Il vostro dominio su portale, console, e-mail, SMS e report	Nome del fornitore nelle e-mail, nell'URL della console o nei piè di pagina dei report
Hardware	Produttori nominati, ciascuno con una guida all'integrazione pubblicata	"Tutti i principali produttori" senza un elenco dettagliato
Fatturazione	L'unità di fatturazione corrisponde a come addebitate i costi ai clienti, con aumento calmierato	Prezzo per ospite illimitato o accesso API solo nel livello più alto
Dati degli ospiti	Il cliente è il titolare; il fornitore li elabora solo su istruzione	Il fornitore si riserva il diritto di utilizzare autonomamente i dati degli ospiti
Uscita	Registri del consenso esportati in CSV o JSON entro un periodo concordato	Esportazione solo su richiesta, a pagamento o in un formato proprietario
Supporto	Livelli di gravità, obiettivi di risposta e un referente indicato per le escalation	Solo modulo di richiesta ticket, senza tempi di risposta definiti

Scenario pratico: un comune che cambia rivenditore

Situazione. Un rivenditore gestiva il WiFi ospiti per un comune in 22 biblioteche e centri ricreativi. In sede di riassegnazione della gara, il comune ha scelto un fornitore diverso. Il suo team eventi conservava il consenso di circa 38.000 visitatori per ricevere aggiornamenti.

Azione intrapresa. Il contratto del rivenditore con il fornitore includeva una clausola di uscita ai sensi dell'Articolo 28(3)(g). La clausola richiedeva l'esportazione JSON di ogni registro del consenso entro 30 giorni, con timestamp, versione del testo e canale.

Risultato (cifre illustrative). Il comune ha importato tutti i 38.000 registri del consenso nella sua nuova piattaforma. Ha continuato a inviare e-mail ai visitatori senza dover avviare una campagna di ri-richiesta delle autorizzazioni. Il rivenditore è uscito con la conferma scritta che la sua copia dei dati era stata eliminata.

Domande frequenti

Che cos'è un Captive Portal in white label?

Un Captive Portal in white label è un software di accesso WiFi ospiti che un MSP o rivenditore vende con il proprio marchio. Il fornitore gestisce la piattaforma, mentre il vostro logo, dominio, e-mail del mittente e report sono rivolti al cliente. Le piattaforme più solide aggiungono una vera architettura multi-tenant. Ogni cliente risiede quindi nel proprio tenant isolato, con ruoli amministrativi delegati per i responsabili delle strutture e i team di marketing.

Un MSP può personalizzare un Captive Portal con il proprio marchio?

Sì, a condizione che la piattaforma offra una personalizzazione del brand completa. La pagina di login dovrebbe caricarsi dal tuo dominio con un certificato TLS valido. Le e-mail dovrebbero essere inviate dal tuo dominio con SPF, DKIM e DMARC allineati. La console di amministrazione e i report non dovrebbero contenere alcun riferimento al fornitore. Se la personalizzazione del brand si ferma alla pagina di login, il tuo cliente continuerà a vedere il nome del fornitore ogni mese.

Come viene calcolato il prezzo dei software Captive Portal in white label?

La maggior parte dei fornitori applica prezzi per sede, per access point o per utente ospite, venduti all'ingrosso in modo da consentirti di stabilire il prezzo al dettaglio. Il prezzo per sede si adatta alle catene di locali simili. Il prezzo per access point si adatta alle strutture con ampi picchi di affluenza. Il prezzo per utente ospite si adatta ai progetti pilota e ai siti a basso traffico, ma varia in base alla domanda. Per proteggere i margini, fattura al tuo cliente nella stessa unità di misura utilizzata dal fornitore nei tuoi confronti.

Quali access point deve supportare un portale white label?

Deve supportare tutti i fornitori presenti nelle infrastrutture dei tuoi clienti, indicati singolarmente: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Per ciascuno di essi, verifica il reindirizzamento al Captive Portal esterno, l'autenticazione e il tracciamento RADIUS, e il supporto per walled garden, supportati da una guida di integrazione pubblicata. La soluzione Guest WiFi di Purple funziona su tutti e otto come un overlay cloud indipendente dall'hardware.

Chi è il proprietario dei dati degli ospiti su una piattaforma per rivenditori?

Il tuo cliente, l'gestore della struttura, deve essere il proprietario dei dati degli ospiti in qualità di titolare del trattamento ai sensi del GDPR. Tu agisci come responsabile del trattamento e il fornitore della piattaforma come sub-responsabile, ciascuno vincolato da un contratto conforme all'Articolo 28. Rifiuta i termini del fornitore che consentono a quest'ultimo di utilizzare i dati degli ospiti per i propri scopi. I registri dei consensi dovrebbero poter essere esportati su richiesta e restituiti al cliente alla scadenza del contratto.

I clienti hanno bisogno di nuovo hardware per passare a una nuova piattaforma Captive Portal?

No, non se la piattaforma è indipendente dall'hardware. Un overlay cloud si collega agli access point che il cliente sta già utilizzando, sfruttando il reindirizzamento al Captive Portal esterno e RADIUS. È sufficiente riconfigurare la rete per puntare alla nuova piattaforma anziché sostituire i dispositivi. Esegui dei test sulle versioni del firmware effettivamente utilizzate dai clienti prima di pianificare il passaggio definitivo.

È possibile migrare i clienti esistenti da un'altra piattaforma Captive Portal?

Sì, a condizione che il fornitore attuale esporti i registri dei consensi e i dati degli ospiti di ciascun cliente in un formato utilizzabile. Richiedi un'esportazione in CSV o JSON contenente marca temporale, testo del consenso e canale utilizzato, citando l'Articolo 28(3)(g) del GDPR. Ricrea i modelli del portale nel nuovo tenant ed esegui entrambe le piattaforme in una struttura pilota. Successivamente, passa alle sedi rimanenti a blocchi per limitare i rischi.