O conselho mais popular sobre WiFi também é o menos útil. "Ative o WPA3" não diz nada sobre quem ainda pode entrar, o que essas pessoas podem acessar depois de conectadas ou com que rapidez você pode removê-las quando um contrato termina ou um morador se muda.
Os tipos de segurança de WiFi são importantes, e alguns antigos precisam ser desativados hoje mesmo. Mas um rótulo WPA3 ou um SSID de visitante separado não comprovam um acesso seguro por si só. Avalie cada rede por três perguntas. Quem ou o que se autenticou, o que essa identidade pode alcançar e quão rápido você pode revogá-la?
Tipos de Segurança WiFi Comparados por Proteção e Status
Em 2016, o governo do Reino Unido aconselhou as organizações a nunca implantarem o WEP, descrevendo-o como criptograficamente fraco, e desaconselhou o WPA original porque seu protocolo TKIP era vulnerável a ataques Beck-Tews e Ohigashi-Morii publicados, o que tornou o WPA2 o padrão prático para locais de trabalho na orientação do governo do Reino Unido sobre compartilhamento de redes sem fio no local de trabalho. WEP, WPA com TKIP, WPA2 e WPA3 não são variações da mesma coisa. São gerações sucessivas com níveis de proteção materialmente diferentes.
| Tipo de segurança | Nível de proteção | Status em 2026 | Aplicações típicas |
|---|---|---|---|
| Aberto (sem criptografia) | Nenhum, tráfego legível pelo ar | Inaceitável | Em nenhum lugar para tráfego corporativo |
| WEP | Criptograficamente vulnerável | Desativar | Apenas hardware legada, se muito |
| WPA com TKIP | Ataques conhecidos e publicados | Desativar | Nenhum |
| WPA2-Personal (PSK, AES-CCMP) | Forte com uma frase secreta longa, uma chave compartilhada por todos os usuários | Linha de base | Pequenos escritórios, residências, clientes legados mistos |
| WPA3-Personal (SAE) | Resiste a adivinhação offline de frases secretas | Preferido onde os clientes oferecem suporte | Residências modernas e pequenos escritórios |
| WPA2/WPA3-Enterprise (802.1X) | Credenciais por usuário ou por dispositivo | Padrão para organizações | Equipe e dispositivos gerenciados |
| Passpoint / OpenRoaming | Login automático criptografado via EAP | Em crescimento, baseado em certificação | Locais de eventos, trânsito, offload de operadoras |
| iPSK | Chave exclusiva por dispositivo em um SSID | Prático para dispositivos legados e IoT | Hospitalidade, residencial, IoT |
| Captive Portal em SSID aberto | Login via web, link de rádio não criptografado | Fraco por si só | Acesso de visitantes, apenas com isolamento e TLS |
Protocolos Inseguros para Remover Primeiro
Rede aberta, WEP e WPA com TKIP estão na mesma categoria prática, embora falhem de maneiras diferentes. Uma rede aberta não criptografa nada pelo ar. O WEP criptografa mal, e o TKIP mantém um conjunto de ataques conhecidos em jogo muito tempo depois que cifras melhores se tornaram o padrão.
As orientações para o consumidor e o setor público no Reino Unido seguem a mesma direção. WPA2 ou WPA3 são recomendados, WEP e WPA não devem ser usados e uma rede não deve ser configurada como Aberta sem criptografia, conforme estabelecido nas orientações do Information Commissioner's Office sobre segurança de WiFi. Se você encontrar qualquer um desses três em um SSID ativo, a decisão não é qual deles ajustar. É qual tipo moderno deve substituí-lo e o que fazer com os dispositivos que dependiam dele.
Tipos de Chaves Compartilhadas para Residências e Locais Pequenos
O WPA2-Personal com AES-CCMP e o WPA3-Personal com SAE baseiam-se em uma frase de acesso que todos compartilham. Esse modelo é viável onde o grupo de usuários é pequeno, estável e de confiança, como uma residência ou um pequeno escritório com poucas entradas e saídas. Ele se torna mais fraco como modelo operacional, e não como criptografia, quando dezenas de funcionários, prestadores de serviços, hóspedes ou residentes conhecem o mesmo segredo.
Uma frase de segurança longa e exclusiva ajuda muito o WPA2-Personal. Mas ela não oferece responsabilidade individual. Quando alguém sai, sua única revogação limpa é alterar a chave para todos e reconectar cada dispositivo legítimo.
Tipos Baseados em Identidade para Organizações e Locais de Grande Circulação
WPA2/WPA3-Enterprise com 802.1X, Passpoint e OpenRoaming vinculam o acesso a uma identidade ou a um perfil provisionado em vez de uma única senha reutilizável. O iPSK fica entre esses dois mundos. Cada dispositivo recebe sua própria chave em um único SSID, para que você possa remover uma televisão, fechadura ou scanner sem perturbar o restante.
Trate um Captive Portal de forma diferente. É um método de login, não criptografia. Um portal em um SSID aberto pode identificar um visitante, mostrar termos e expirar uma sessão, mas não criptografa o link de rádio, portanto ainda precisa de TLS na camada de aplicação e isolamento de rede por trás dele.
Regra prática: Verifique primeiro a coluna de status. Remova qualquer item marcado como desativado ou não aceitável e, em seguida, escolha a linha restante mais forte que a sua combinação real de dispositivos e usuários possa suportar.
Esse último ponto evita uma falha comum de auditoria. As equipes escolhem um protocolo preferido, descobrem que um controlador de porta ou scanner não pode usá-lo e, em seguida, fazem o downgrade de toda a rede. Mantenha o padrão forte para clientes modernos e isole a exceção separadamente.
Como o WPA2 e o WPA3 Diferem na Prática
A principal diferença entre o WPA2-Personal e o WPA3-Personal é o que um atacante pode fazer após ouvir uma tentativa de conexão. O WPA2 usa um handshake com chave pré-compartilhada. Um atacante que capturar esse handshake pode levá-lo e tentar adivinhar a senha offline, na velocidade que seu hardware permitir, sem precisar falar com seu ponto de acesso novamente.
O WPA3-Personal substitui essa troca pelo Simultaneous Authentication of Equals, ou SAE. Cada tentativa de adivinhação exige uma nova troca interativa com o ponto de acesso. Isso elimina o ataque prático de adivinhação offline contra um handshake capturado e torna as senhas fracas mais difíceis de explorar, embora uma senha forte ainda seja a escolha certa.
O Que o WPA3 Adiciona Além do Handshake
O WPA3 exige Protected Management Frames, o que torna certo tráfego de gerenciamento forjado mais difícil de ser usado contra clientes conectados. Ele também fornece forward secrecy. Se a senha vazar mais tarde, esse vazamento não expõe por si só o tráfego capturado anteriormente.
Existem restrições rígidas. O WPA3 é obrigatório para dispositivos WiFi que operam na banda de 6 GHz, um ponto destacado na evidência do Comitê de Normas IEEE 802 LAN/MAN para a Ofcom em seu plano de trabalho 2025/26. Se você está planejando cobertura em 6 GHz, o suporte ao WPA3 não é uma preferência opcional. Faz parte do requisito do cliente e do ponto de acesso.
O modo de transição misto WPA2/WPA3 é a ponte usual. Ele mantém os clientes mais antigos conectados enquanto os mais novos usam SAE, mas também mantém um caminho de downgrade aberto porque o WPA2 permanece habilitado. Use-o como um estado de migração com uma condição de saída e, em seguida, mude para WPA3-only assim que seu inventário de clientes permitir.
Por que uma etiqueta WPA2 não é uma prova
O WPA2 ainda precisa de configuração e atualizações cuidadosas. Em outubro de 2017, o National Cyber Security Centre do Reino Unido relatou a divulgação da vulnerabilidade KRACK afetando redes WPA2, reforçando que o WPA2 permanecia mais seguro do que o WEP ou o WPA. A KRACK afetou tanto o WPA2-Personal quanto o WPA2-Enterprise, portanto, o rótulo por si só nunca provou que um cliente ou ponto de acesso estava seguro.
A resposta do NCSC ainda é o modelo operacional correto. Atualize clientes e infraestrutura, substitua o TKIP descontinuado pelo AES-CCMP e mantenha o firmware com suporte do fornecedor, conforme descrito nas orientações do National Cyber Security Centre sobre a vulnerabilidade KRACK. Uma rede WPA2 sem atualização em um firmware abandonado é uma posição no mundo real mais fraca do que sua página de configurações sugere.
O WPA3 também não resolve o problema do segredo compartilhado. Ele protege melhor o link de rádio, mas uma senha WPA3-Personal conhecida por todos os ex-funcionários ainda não oferece responsabilidade por pessoa e nenhum interruptor individual para desativar.
Comparação Entre Chaves Compartilhadas, Identidade e Certificados
Um rótulo WPA não informa quem pode acessar a rede ou o que eles podem alcançar. O controle de acesso depende do método de identidade, da política de rede e da rapidez com que as credenciais podem ser revogadas. Uma senha compartilhada pode criptografar o tráfego, mas remover um ex-funcionário pode exigir a alteração dessa senha para todos os dispositivos. Com o acesso baseado em identidade, um administrador pode desativar uma conta, certificado ou chave de dispositivo mantendo as outras conexões intactas.
| Modelo de acesso | Revogação | Responsabilização por pessoa | Esforço de integração | Suporte a dispositivos legados |
|---|---|---|---|---|
| PSK compartilhado (WPA2/WPA3-Personal) | Alteração de senha em todo o local | Nenhuma | Baixo | Bom |
| iPSK | Revogar a chave de um dispositivo | Por dispositivo, não por pessoa | Médio | Bom |
| 802.1X com certificados | Revogar certificado ou dispositivo | Por dispositivo | Alto no início | Limitado para clientes mais antigos |
| 802.1X com login de diretório (Microsoft Entra ID, Google Workspace, Okta) | Desativar a conta do diretório | Por usuário | Médio | Limitado onde o EAP não é suportado |
| Passpoint / OpenRoaming | Revogar identidade no provedor | Por usuário, via provedor de identidade | Baixo para usuários | Requer dispositivos compatíveis com Passpoint |
| Captive Portal | Expirar sessão ou voucher | Por voucher ou conta, controle de dispositivo fraco | Baixo | Bom |
O Custo de Cada Modelo no Dia a Dia
A PSK compartilhada é rápida de implantar, mas cara de gerenciar quando as necessidades de acesso mudam. Os dispositivos se conectam com a mesma frase de segurança, portanto, a saída de um funcionário, contratado ou uma credencial vazada pode disparar uma alteração em todo o local. Cada dispositivo legítimo precisa, então, da nova senha.
O iPSK dá a cada dispositivo uma chave separada, mantendo uma configuração de senha familiar. Ele se adapta a televisões, controles prediais e outros equipamentos que não podem usar autenticação corporativa. Um administrador pode revogar a chave de um dispositivo, mas a chave identifica o dispositivo, não a pessoa que o está utilizando.
O 802.1X com certificados autentica um dispositivo gerenciado. A configuração exige mais trabalho porque os certificados devem ser emitidos, renovados e revogados corretamente. Uma vez implantado, um dispositivo perdido ou aposentado pode ser removido sem alterar as senhas dos usuários ou redefinir as chaves de todo o local.
O 802.1X vinculado ao diretório por meio do Microsoft Entra ID, Google Workspace ou Okta vincula o acesso à rede à conta de uma pessoa. Desative essa conta durante o desligamento e seu acesso poderá ser removido sem interromper outros usuários. A relação entre o ciclo de vida da identidade e a política de rede é central para a rede baseada em identidade para funcionários, convidados e locatários. A autenticação por si só ainda não define o alcance: aplique políticas de rede e segmentação para que cada identidade possa acessar apenas os sistemas de que precisa.
O Teste do Prestador de Serviços do Hospital
Considere um hospital de 300 leitos como um exemplo prático. Um prestador de serviços precisa de acesso sem fio para um projeto fixo, os dispositivos clínicos precisam de conectividade ininterrupta e os equipamentos das instalações compartilham a infraestrutura física de rede. Quando o contrato termina, o acesso do prestador de serviços deve ser removido sem a necessidade de reconfigurar bombas de infusão, estações de trabalho móveis ou sensores do edifício.
Uma frase de acesso compartilhada pela equipe dificulta isso, a menos que o hospital a altere em todo o local. Uma conta de diretório permite que os administradores removam o acesso do prestador de serviços desativando a identidade. Os certificados de dispositivo atendem a uma necessidade diferente: os equipamentos clínicos se autenticam como um dispositivo e permanecem conectados quando um funcionário sai. Políticas de rede separadas ainda devem controlar o que cada conta ou dispositivo pode acessar.
O padrão de segurança de rede sem fio SS-019 do governo do Reino Unido é uma referência para requisitos de segurança sem fio. Como orientação prática, escolha WPA3-Enterprise quando os clientes suportarem ou WPA2-Enterprise com AES-CCMP onde clientes mais antigos exigirem. Trate essa escolha como uma parte do projeto, não como prova de que o acesso está devidamente controlado.
O suporte do cliente estabelece um limite real. O acesso baseado em EAP e certificados exige suplicantes capazes e provisionamento confiável em cada dispositivo. Dispositivos móveis mais antigos, controladores incorporados e muitos dispositivos IoT podem não suportá-los. Coloque esses dispositivos em um segmento separado com uma chave apropriada e restrinja o que esse segmento pode acessar, em vez de enfraquecer o acesso para toda a rede.
A criptografia responde se o tráfego pode ser lido pelo ar. A identidade responde se essa pessoa ou dispositivo deveria estar aqui.
Tipos de Segurança Recomendados por Setor
Comece com a linha do setor mais próxima da sua operação e depois aplique a lógica de fallback à sua classe de dispositivos mais antiga. O padrão é consistente. Funcionários e dispositivos gerenciados mudam para o acesso baseado em identidade, convidados recebem acesso criptografado, porém isolado, e equipamentos legados recebem sua própria chave ou segmento em vez de forçar um downgrade em toda a rede.
| Setor | Tipo principal | Fallback para dispositivos legados | Controle principal |
|---|---|---|---|
| Hotéis e bares | Passpoint ou 802.1X para funcionários, WPA3 ou WPA2 com iPSK para hóspedes | Chaves iPSK para TVs e sistemas de portas | Rede de hóspedes isolada dos sistemas da propriedade |
| Varejo e shopping centers | 802.1X para dispositivos de funcionários, Passpoint ou portal para clientes | iPSK para scanners e pontos de venda (POS) | Sistemas de pagamento mantidos fora das redes de hóspedes |
| Saúde | 802.1X com certificados de dispositivo para equipamentos clínicos | Segmento dedicado para IoT médica e predial | Segmentação e ciclos de atualização (patch) |
| Centros de transporte e estádios | Passpoint e OpenRoaming com offload de operadora | Captive Portal sobre TLS | Capacidade e roaming, não apenas criptografia |
| Residencial, BTR e moradia estudantil | WPA3-Personal ou iPSK por residente | iPSK para fechaduras inteligentes e TVs mais antigas | Chaves revogadas na desocupação do imóvel |
| Escritórios corporativos | WPA3-Enterprise ou WPA2-Enterprise com 802.1X | SSID de hóspedes separado com isolamento de cliente | Revogação vinculada ao diretório de usuários |
| Locais multilocatários (multi-tenant) | iPSK por locatário com SSO para funcionários | SSID separado por locatário onde o hardware permitir | Isolamento de locatários testado |
Aplicando o Fallback sem Enfraquecer o Padrão
Os hotéis mostram por que uma única resposta raramente se adapta a todo o local. Os funcionários precisam de acesso revogável, os convidados precisam de acesso criptografado com pouca fricção e as TVs nos quartos ou sistemas de portas podem aceitar apenas uma senha. Use Passpoint ou 802.1X para funcionários, mantenha o tráfego de convidados longe dos sistemas de gestão da propriedade e coloque o hardware dos quartos em chaves iPSK revogáveis individualmente.
O setor de varejo possui um limite mais rígido. Dispositivos móveis da equipe devem usar 802.1X quando houver suporte, leitores e terminais de ponto de venda podem usar iPSK em um segmento restrito, e o acesso de clientes nunca deve se tornar um caminho para os sistemas de pagamento. A conveniência da rede de clientes é irrelevante se a política de firewall estiver incorreta.
Para escritórios, o maior ganho operacional vem da conexão do acesso sem fio ao diretório que as pessoas já usam para e-mail e aplicativos. Um projeto dedicado para WiFi de funcionários com acesso e revogação baseados em diretório faz do desligamento uma única ação, em vez de um chamado de rede separado que alguém possa esquecer.
Locais de saúde e residenciais estão em extremidades opostas do mesmo problema de dispositivos. Os hospitais não podem substituir casualmente equipamentos clínicos ou prediais, portanto, os certificados cobrem dispositivos clínicos gerenciados e um segmento dedicado contém o restante. Moradias estudantis e empreendimentos de aluguel residencial mudam de ocupantes com frequência, por isso uma chave por residente que expira no momento da mudança importa mais do que forçar todos a usarem um login corporativo que seu console de videogame não suportará.
Quando Reavaliar a Escolha
Revise o mapeamento quando qualquer um destes itens mudar:
- Novas classes de dispositivos: Um novo terminal de pagamento, sistema de fechadura ou dispositivo médico pode precisar de seu próprio segmento ou modelo de chave.
- Alta rotatividade de funcionários: Contratações sazonais ou uso intensivo de prestadores de serviços tornam as frases de senha compartilhadas difíceis de controlar.
- Equipamentos legados sem patch: Dispositivos que nunca recebem atualizações precisam de uma contenção mais rígida, e não de um acesso à rede mais amplo.
- Mudança de locatário: Novos locatários ou residentes devem disparar novas chaves e um teste de isolamento.
Substituir cada dispositivo final para alcançar um diagrama de protocolo perfeito não é realista na maioria dos locais. Mapeie cada classe de dispositivo para o modelo mais forte que ela pode suportar na prática e, em seguida, use a segmentação para limitar o que uma classe fraca ou ingerenciável pode acessar.
Faça uma Auditoria na Sua Configuração Atual de WiFi
Um rótulo WPA e um SSID de visitante não provam que o acesso está controlado. Audite cada rede em relação à sua criptografia, às identidades que ela aceita, aos sistemas que seus clientes podem alcançar e à rapidez com que você pode revogar o acesso. Comece com a configuração do roteador ou controladora e, em seguida, verifique a conexão a partir de um celular ou laptop.
Crie o Inventário Antes de Alterar Qualquer Coisa
Registre cada SSID e ponto de acesso, incluindo redes de teste esquecidas e configurações WEP ou TKIP deixadas para dispositivos que ninguém consegue identificar. Agrupe os dispositivos conectados por classe: notebooks e celulares de funcionários, dispositivos de convidados, terminais de pagamento, equipamentos clínicos, gestão predial e IoT geral. Uma classe de dispositivos que não suporta autenticação moderna pode precisar de um plano de contingência restrito, não de acesso à rede de funcionários.
No ponto de acesso ou controlador, registre o modo de segurança configurado para cada SSID. Em um dispositivo conectado, abra os detalhes da rede e verifique o tipo de segurança exibido: WEP ou TKIP indica segurança legada; WPA2-Personal ou WPA2-Enterprise identifica WPA2, enquanto WPA3-Personal ou WPA3-Enterprise identifica WPA3. Os rótulos variam conforme o sistema operacional, portanto use a configuração do controlador para confirmar resultados ambíguos. Registre também as versões de firmware dos pontos de acesso, controladores e clientes representativos. Um protocolo correto em um firmware desatualizado não é um controle finalizado.
As Cinco Verificações Que Definem Suas Prioridades
- O acesso interno é criptografado: Remova redes abertas, WEP ou TKIP usadas para acessar sistemas internos. Um SSID de hóspedes aberto só pode permanecer se o TLS proteger o tráfego e os testes confirmarem o isolamento dos hóspedes.
- O firmware está atualizado: Verifique pontos de acesso, controladores e clientes representativos, não apenas um único dispositivo.
- O isolamento de hóspedes funciona: Conecte-se como hóspede e teste o acesso aos sistemas de funcionários, pagamentos e prediais, bem como a visibilidade de outros clientes hóspedes.
- O acesso dos funcionários segue a identidade: Desative uma conta de teste e verifique se o usuário perde o acesso ao WiFi rapidamente.
- O acesso à IoT está contido: Confirme se o inventário de dispositivos está atualizado, se dispositivos desconhecidos estão visíveis e se os dispositivos IoT usam uma chave separada ou um segmento restrito.
Um SSID de convidado por si só não comprova o isolamento. Aprovado na verificação apenas quando um dispositivo de convidado não conseguir alcançar endereços internos ou outros clientes que não deveria ver. Registre quem ou o que se autentica em cada SSID, o que essas conexões podem alcançar e como o acesso é revogado. Classifique as falhas por nível de exposição e use esse inventário para definir as prioridades de migração.
Migrando Redes Legadas sem Interromper Dispositivos
Um rótulo WPA3 não prova que uma rede é segura, e um SSID de convidado separado não garante o isolamento. Faça a migração em uma ordem que remova configurações fracas, contenha dispositivos que não suportam autenticação moderna e, em seguida, altere a forma como a equipe e os convidados se conectam. Teste o acesso e a revogação durante todo o processo. Essa sequência protege equipamentos frágeis enquanto torna as falhas visíveis antes que se tornem um motivo para restaurar uma rede compartilhada.
Seis Etapas em Ordem
- Atualize o firmware e desative WEP e TKIP: Atualize o firmware dos clientes e pontos de acesso antes de alterar a autenticação. Verifique as orientações do fornecedor para o seu firmware antes de alterar as configurações de roaming rápido 802.11r ou repetidor. Configurações de protocolo não compensam softwares vulneráveis ou não suportados.
- Contenha classes de dispositivos legados: Mova equipamentos que não podem usar autenticação moderna para iPSK ou um SSID dedicado com regras rígidas de destino. O xPSK para chaves de dispositivos individuais em infraestrutura compartilhada permite que uma televisão ou fechadura use uma frase de segurança sem compartilhar um único segredo por toda a propriedade. Defina uma chave separada para cada dispositivo, se possível, para que você possa revogar o acesso sem interromper outros.
- Mova a equipe para o 802.1X vinculado ao diretório: Conecte o acesso ao Microsoft Entra ID, Google Workspace ou Okta para que o desligamento normal de funcionários também remova o acesso à rede. O Purple e outras opções nativas de fornecedores ou baseadas em diretórios podem fornecer a camada de autenticação. Verifique se a desativação de uma conta realmente bloqueia o acesso ao WiFi, em vez de presumir que a conexão do diretório cuida da revogação.
- Mova convidados para um acesso criptografado e isolado: Use Passpoint ou OpenRoaming onde o local e os dispositivos clientes os suportarem. Caso contrário, forneça um Captive Portal sobre TLS, habilite o isolamento de clientes e trate os dispositivos de convidados como não confiáveis. Confirme se a política de acesso limita o que os convidados podem alcançar.
- Teste o modo de transição e depois remova-o: Habilite o modo de transição WPA2/WPA3 e teste cada classe de dispositivo. Mova para apenas WPA3 onde os clientes permitirem. Registre qual classe específica de dispositivo impede essa alteração e estabeleça um plano para solucioná-la, em vez de deixar o modo de transição ativo por padrão.
- Teste o isolamento a partir de um dispositivo de convidado: Conecte-se como convidado e tente acessar endereços internos, outros convidados, interfaces de gerenciamento de pontos de acesso e sistemas operacionais. Ajuste as regras de firewall e VLAN até que cada rota proibida falhe. Uma conexão bloqueada só tem significado se a política de rede, e não um problema temporário do cliente, causou a falha.
Exemplo Prático de um Hotel de 60 Quartos
Um hotel de 60 quartos tem uma frase de acesso compartilhada para hóspedes conhecida por toda a cidade, um caixa na mesma rede e TVs mais antigas que não podem usar o login corporativo. O hotel migra os quartos de hóspedes para iPSK por quarto ou por dispositivo, coloca o caixa em um segmento restrito e mantém a equipe com acesso vinculado ao diretório. Cada TV mantém uma chave que pode usar, enquanto uma chave perdida pode ser revogada sem alterar o acesso em toda a propriedade.
O projeto só está completo após testar os controles. Conecte-se à rede de visitantes e confirme que o caixa e os sistemas da equipe estão inacessíveis. Revoque uma chave de quarto e verifique se ela não concede mais acesso. Guarde os resultados dos testes como prova de que os controles de segmentação e identidade funcionam.
Um SSID separado é apenas um nome. O isolamento é o resultado testado de firewall e roteamento.
A Pesquisa de Violações de Segurança Cibernética de 2025 do Governo do Reino Unido relatou que 93% das organizações tinham WiFi separado para funcionários e visitantes, de acordo com os resultados da Pesquisa de Violações de Segurança Cibernética 2025 no GOV.UK. Um nome de rede separado não garante que as regras de VLAN bloqueiem o tráfego indesejado, que os clientes não possam alcançar uns aos outros ou que antigos prestadores de serviços tenham perdido o acesso.
Se a sua lista de verificação de auditoria encontrou lacunas, comece com as configurações fracas e trabalhe nas etapas de migração, registrando quais dispositivos e caminhos de acesso ainda precisam de atenção. Se as verificações passaram, continue testando: agende uma revisão trimestral, reteste o isolamento após alterações na rede e atualize o inventário de dispositivos quando novas classes de equipamentos surgirem. O desvio de configuração pode anular um projeto sólido, independentemente da versão de WPA que a rede anuncie.
Se senhas compartilhadas, desligamento lento ou isolamento de convidados não testado ainda mantêm sua rede unida, a Purple oferece acesso baseado em identidade para funcionários e convidados, chaves por dispositivo para equipamentos legados e revogação vinculada ao diretório por meio do Microsoft Entra ID, Google Workspace ou Okta. Analise como isso funciona com seus pontos de acesso existentes antes de planejar uma migração.
