- Purple
- Guest WiFi: a complete guide
- Checklist de RFP para WiFi de hotel: autenticação, filtragem de conteúdo e marketing para hóspedes
Checklist de RFP para WiFi de hotel: autenticação, filtragem de conteúdo e marketing para hóspedes
Use esta checklist para elaborar uma licitação de WiFi para hotéis que avalia os fornecedores simultaneamente em autenticação de funcionários, filtragem de conteúdo e captura de dados de hóspedes. Você poderá definir requisitos de aprovação ou reprovação, executar seis testes de prova de conceito em uma propriedade e comparar modelos de aquisição quanto a contratos, hardware e propriedade de dados antes de assinar.
Parte da nossa série principal: Guia de WiFi para Hóspedes →
- O que uma lista de verificação de RFP para WiFi de hotel realmente cobre?
- O que você precisa antes de escrever a RFP?
- Um inventário de pontos de acesso e controladores
- Sua fonte de verdade de identidade
- Um mapa de segmentação
- Uma política de filtragem com um responsável
- Um posicionamento sobre proteção de dados
- Uma linha de base de RF
- Como você constrói o checklist, seção por seção?
- Requisitos de autenticação de funcionários
- Requisitos de autenticação de convidados
- Requisitos de filtragem de conteúdo
- Requisitos de captura de dados de convidados e marketing
- Requisitos de plataforma, segurança e conformidade
- Resumo do checklist
- Como você testa as respostas do fornecedor antes de assinar?
- Como isso se parece em uma rede hoteleira real?
- Um hotel urbano de 200 quartos com três contratos de WiFi
- Um grupo de 40 propriedades com hardware misto
- Um centro de conferências e eventos gerido pelo conselho local
- O que dá errado nas RFPs de WiFi para hotéis e como corrigir?
- A RFP é dividida entre três departamentos
- O consentimento é agrupado com os termos de uso
- Senhas compartilhadas da equipe sobrevivem à licitação
- O filtro é burlado no primeiro dia
- O Captive Portal falha em celulares
- O bloqueio de fornecedor (hardware lock-in) fica oculto na pontuação
- Como as opções de aquisição se comparam?
- Quanto custa e qual é o retorno?
- O que precificar
- O que você obtém em troca
- Perguntas frequentes
- Como é precificado o software de WiFi para hotéis?
- A Purple pode rodar nos pontos de acesso que já possuímos?
- Como migramos os dados de visitantes do nosso provedor atual de Captive Portal?
- A captura de dados de hóspedes por meio do WiFi está em conformidade com o GDPR?
- O filtragem de DNS é suficiente para o WiFi de hóspedes de hotéis?
- Devemos comprar o WiFi para hóspedes do nosso fornecedor de hardware ou de uma plataforma separada?
- Quanto esforço exige a implantação de um WiFi hoteleiro?

Uma lista de verificação de RFP para WiFi de hotel deve testar três capacidades em uma única licitação. A autenticação de funcionários deve usar IEEE 802.1X ou chaves por pessoa vinculadas ao seu provedor de identidade. O filtragem de conteúdo deve aplicar políticas de DNS por rede. A captura de dados de hóspedes deve registrar o consentimento de GDPR para cada adesão. Uma licitação oferece um contrato, um painel e uma trilha de auditoria.
O que uma lista de verificação de RFP para WiFi de hotel realmente cobre?
A maioria dos hotéis compra WiFi em três partes separadas:
- Acesso de funcionários fica com o TI, geralmente como uma senha compartilhada em uma rede oculta.
- Acesso de hóspedes fica com um fornecedor de Captive Portal, escolhido pelo marketing ou incluído pelo provedor de banda larga.
- Filtragem de conteúdo fica com terceiros, ou simplesmente não existe.
Cada parte funciona sozinha. Juntas, elas criam três contratos, três painéis e três conjuntos de logs que nunca coincidem. Quando um funcionário sai, o acesso ao WiFi geralmente permanece até a próxima alteração de senha. Quando um hóspede pergunta quais dados você possui, a resposta pode estar em um sistema que o seu encarregado de proteção de dados (DPO) nunca auditou.
Uma única lista de verificação de RFP para WiFi de hotel resolve isso ao avaliar os fornecedores nos três domínios de uma só vez:
- Autenticação de funcionários: quem entra na rede de funcionários, como provam sua identidade e quão rápido o acesso termina quando saem.
- Filtragem de conteúdo: quais categorias de sites são bloqueadas em qual rede e quão difícil é burlar o filtro.
- Captura de dados de hóspedes e marketing: como os hóspedes se conectam, o que você aprende sobre eles e se cada registro de marketing possui consentimento legal.
A lista de verificação pressupõe que você mantenha seus pontos de acesso existentes. O Purple funciona como uma sobreposição em nuvem em hardwares Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Portanto, sua RFP pode focar em software e dados, não em uma substituição completa. O artigo Por que sua próxima atualização de WiFi não precisa de novos hardwares apresenta o argumento do hardware na íntegra.
O que você precisa antes de escrever a RFP?
Os fornecedores respondem à RFP que você escreve. Requisitos vagos geram respostas vagas que recebem a mesma pontuação. Reúna seis informações antes de rascunhar uma única pergunta.
Um inventário de pontos de acesso e controladores
Liste o fornecedor do ponto de acesso, o controlador ou painel em nuvem e a versão do firmware de cada local. Observe onde as propriedades diferem, como propriedades mais novas no Cisco Meraki e adquiridas no Ruckus. Peça aos fornecedores que confirmem o suporte para cada combinação pelo nome.
Sua fonte de verdade de identidade
Nomeie o diretório que contém suas contas de funcionários: Microsoft Entra ID, Okta ou Google Workspace. Registre como os funcionários terceirizados e temporários aparecem nele. Essas contas são as que mais frequentemente permanecem ativas após a saída de alguém.
Um mapa de segmentação
Mapeie suas VLANs atuais. Uma VLAN (virtual local area network) separa o tráfego logicamente em switches e access points compartilhados. Você precisa de redes separadas para visitantes, funcionários e pagamentos, no mínimo. O PCI-DSS coloca no escopo todos os sistemas conectados ao ambiente de dados do portador do cartão. A segmentação adequada mantém sua rede de visitantes fora da auditoria de pagamento com cartão.
Uma política de filtragem com um responsável
Decida quem estabelece as regras de filtragem: TI, jurídico ou operações. Em seguida, decida quais áreas recebem qual política. Um lobby usado por famílias precisa de regras diferentes de um salão de conferências repleto de expositores.
Um posicionamento sobre proteção de dados
Alinhe com seu DPO quais dados de visitantes você deseja, por que os deseja e para onde eles vão. Sob o Artigo 4(11) do GDPR, o consentimento deve ser livremente dado, específico, informado e inequívoco. No Reino Unido, as Privacy and Electronic Communications Regulations (PECR) também regem o marketing por e-mail e SMS. Nomeie seu CRM ou plataforma de marketing antes que os fornecedores perguntem.
Uma linha de base de RF
A autenticação não pode corrigir uma cobertura fraca. Extraia relatórios de utilização de canais da sua controladora ou solicite uma pesquisa de campo antes da licitação. Se a congestão em 2.4GHz for uma reclamação conhecida, leia O guia definitivo sobre canais de WiFi: 2.4GHz vs 5GHz explicados primeiro.
Como você constrói o checklist, seção por seção?
Escreva cada requisito como uma pergunta com uma resposta de sim, não ou evidência. "Suporta segurança corporativa" pontua todos os fornecedores igualmente. "Suporta EAP-TLS com Microsoft Entra ID, com revogação na desativação da conta" os diferencia.
Requisitos de autenticação de funcionários
O WiFi de funcionários trafega seu sistema de gestão hoteleira, terminais de ponto de venda, tablets de governança e notebooks do back-office. Uma senha compartilhada nessa rede é um ponto único de falha. Exija o seguinte:
- IEEE 802.1X. Este padrão IEEE para controle de acesso baseado em porta faz com que cada dispositivo comprove sua identidade antes de receber um endereço. Pergunte quais métodos EAP o fornecedor suporta. O EAP-TLS usa certificados em ambos os lados e elimina totalmente as senhas. O PEAP protege um nome de usuário e senha dentro de um túnel TLS criptografado.
- RADIUS na nuvem. RADIUS (Remote Authentication Dial-In User Service) é o protocolo que os access points usam para decidir se um dispositivo pode se conectar. Um serviço RADIUS nativo na nuvem elimina o servidor local que você precisaria atualizar e fazer backup.
- iPSK ou PPSK. As chaves pré-compartilhadas de identidade (iPSK) e chaves pré-compartilhadas privadas (PPSK) dão a cada pessoa ou dispositivo sua própria chave em um único nome de rede. Impressoras de cartão, smart TVs e dispositivos portáteis mais antigos não suportam 802.1X, portanto precisam disso.
- Sincronização de diretório. O SCIM (System for Cross-domain Identity Management) é o padrão aberto para criar e remover contas entre sistemas. Peça aos fornecedores para demonstrar novas entradas, movimentações e desligamentos fluindo do seu diretório sem nenhuma etapa manual.
- WPA3. O WPA3 exige Protected Management Frames (IEEE 802.11w), que bloqueiam ataques de desconexão forjados. O artigo Protected Management Frames: Um guia prático para 2026 aborda as questões de compatibilidade de clientes a serem consideradas.
As redes baseadas em identidade da Purple colocam cada membro da equipe na rede com sua própria identidade. Quando você desativa uma conta em seu diretório, a Purple revoga o acesso WiFi dessa pessoa.
Requisitos de autenticação de convidados
O processo de integração decide se os convidados chegam a se conectar. Cada campo de formulário adicional custa conexões, e cada campo ausente custa dados. Exija o seguinte:
- Um Captive Portal configurável. Um Captive Portal é a página da web que um convidado vê antes de ficar online. Solicite personalização de marca por propriedade, vários idiomas e uma escolha de métodos de login: e-mail, login social ou verificação por SMS.
- Comportamento móvel comprovado. O iOS e o Android abrem o Captive Portal em um mini navegador restrito. Exija um login ao vivo em compilações atuais do iOS e do Android durante a avaliação, e não capturas de tela.
- Passpoint e OpenRoaming. O Passpoint, também chamado de Hotspot 2.0, é uma certificação do setor desenvolvida sobre o IEEE 802.11u. Ele permite que um dispositivo se conecte a uma rede conhecida de forma automática e segura, sem Captive Portal. O OpenRoaming é a federação da Wireless Broadband Alliance desenvolvida sobre o Passpoint. Ele permite que um convidado se conecte com uma identidade que já possui.
- Controles de sessão e largura de banda. Solicite limites de largura de banda por rede, controles de duração de sessão e limites de dispositivos por convidado.
- Isolamento de clientes. Convidados na mesma rede não devem ver os dispositivos uns dos outros. Solicite que o isolamento esteja ativado por padrão.
O Guest WiFi da Purple executa essa camada em mais de 80.000 locais ativos em mais de 90 países. Ele gerenciou 440 milhões de logins em 2024, de acordo com os dados da própria plataforma da Purple.
Requisitos de filtragem de conteúdo
Um hotel oferece acesso público à internet em espaços compartilhados, frequentemente para famílias. A filtragem de DNS é a abordagem comum: a plataforma se recusa a resolver domínios em categorias bloqueadas. Exija o seguinte:
- Filtragem de DNS baseada em categorias com uma fonte de categorização nomeada. No Reino Unido, exija a lista de URLs da Internet Watch Foundation (IWF) como mínimo.
- Política por rede. As áreas do saguão e da família recebem uma política rígida. As salas de conferência e as redes de funcionários recebem, cada uma, sua própria política.
- Resistência a desvios. O DNS sobre HTTPS (DoH, definido no RFC 8484) envia consultas DNS dentro do tráfego da web criptografado e pode ignorar seu filtro. Pergunte como o fornecedor lida com o DoH e com convidados que configuram seus próprios servidores DNS.
- Acreditação. No Reino Unido, pergunte se sua implantação pode atender ao Friendly WiFi, o esquema de credenciamento iniciado pelo governo para WiFi público filtrado.
- Controles de retenção de logs. Os logs de filtragem podem identificar indivíduos, portanto o GDPR se aplica. Pergunte por quanto tempo os logs são mantidos e quem pode lê-los.
Requisitos de captura de dados de convidados e marketing
O WiFi para visitantes é o único ponto de contato no qual um cliente presencial, um participante de conferência e uma reserva de agência se identificam diretamente para você. Exija o seguinte:
- Opt-ins de escolha consciente. O consentimento de marketing deve ser uma opção separada e desmarcada. O Artigo 7(4) do GDPR estabelece que o consentimento não é dado livremente quando um serviço depende de um consentimento do qual não precisa. O acesso ao WiFi nunca deve exigir um opt-in de marketing.
- Registros de consentimento com carimbo de data/hora para cada perfil, exportáveis para uma solicitação de acesso do titular.
- Integrações nomeadas de CRM e plataformas de marketing, com o mapeamento de campos exibido na resposta.
- Análise de visitas: visitantes novos versus recorrentes, tempo de permanência e frequência de visitas por propriedade. O WiFi Analytics relata esses dados por local.
- Propriedade dos dados. O contrato deve determinar que os dados dos visitantes são seus dados primários (first-party data), com exportação completa no encerramento do contrato.
Requisitos de plataforma, segurança e conformidade
- Certificações. Solicite um certificado ISO 27001 atual e Cyber Essentials para projetos no setor público do Reino Unido. A Purple possui ISO 27001 e Cyber Essentials, e cumpre com o GDPR e a CCPA.
- Disponibilidade (Uptime). Inclua o compromisso no SLA. A disponibilidade publicada da plataforma da Purple é de 99,999%.
- Login de administrador. O SAML (Security Assertion Markup Language) permite que sua equipe acesse o painel com a conta do diretório corporativo. Combine isso com funções administrativas por propriedade.
- Evidência de testes de rede sem fio. O requisito 11.2.1 do PCI DSS v4.0 exige que você detecte pontos de acesso sem fio autorizados e não autorizados pelo menos a cada três meses. Pergunte o que a plataforma ou seu controlador relata em relação a isso.
Resumo do checklist
| Área | Requisito indispensável | Evidência a solicitar | Resposta de alerta vermelho |
|---|---|---|---|
| Autenticação de funcionários | IEEE 802.1X com EAP-TLS ou PEAP | Demonstração ao vivo no seu ambiente do Microsoft Entra ID, Okta ou Google Workspace | "Use uma senha compartilhada forte" |
| Dispositivos de funcionários | iPSK ou PPSK por dispositivo | Dois dispositivos na mesma rede com chaves separadas | "Coloque as impressoras na rede de visitantes" |
| Gestão de desligamentos | Sincronização de diretório com revogação automática | Desative uma conta de teste e cronometre a desconexão | "Os administradores excluem as contas manualmente" |
| Onboarding de visitantes | Captive portal com opções de e-mail, redes sociais e SMS | Login em versões atuais do iOS e Android | Portal exibido apenas em computadores |
| Retorno sem interrupções | Passpoint e OpenRoaming | O dispositivo recorrente reconecta sem exibir o portal | "No roadmap" sem data definida |
| Filtragem de conteúdo | Política de categoria de DNS por rede | Teste de categoria bloqueada nas redes de recepção e conferência | Uma única política para todas as redes |
| Burlar filtros | Tratamento de DoH e DNS personalizado | Teste com um navegador configurado para DoH | Sem resposta sobre DoH |
| Consentimento | Opt-in de marketing separado e desmarcado | Registro de consentimento exportado com carimbo de data/hora | Opt-in unificado com os termos de uso |
| Propriedade dos dados | Os dados dos visitantes são seus dados primários | Cláusula contratual e formato de exportação | O fornecedor reutiliza dados entre diferentes clientes |
| Conformidade | ISO 27001, GDPR, segmentação PCI-DSS | Certificado atual e acordo de processamento de dados | Certificado "em andamento" |
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.
Como você testa as respostas do fornecedor antes de assinar?
Respostas por escrito sempre se destacam positivamente. Uma prova de conceito em uma propriedade mostra o que realmente acontece. Execute estes seis testes com cada fornecedor pré-selecionado.
- Teste de entrada. Crie uma conta de funcionário no seu diretório. Registre quanto tempo leva até que essa pessoa possa se conectar à rede de funcionários.
- Teste de saída. Desative a conta. Pergunte se a plataforma envia uma Alteração de Autorização RADIUS (RFC 5176) para encerrar a sessão ativa ou se aguarda uma nova autenticação.
- Teste de login de visitante. Faça login a partir de dispositivos iPhone e Android atuais e de um notebook. Anote cada falha e cada toque adicional.
- Teste de filtro. Acesse uma categoria bloqueada na rede do saguão e, em seguida, na rede de conferências. Repita com o navegador configurado para DoH.
- Teste de consentimento. Aceite em um dispositivo e recuse em outro. Em seguida, solicite ambos os registros como se estivesse respondendo a uma solicitação de acesso do titular dos dados.
- Teste de segmentação. A partir de um dispositivo de visitante, tente acessar uma impressora da equipe e um endereço de ponto de venda. Ambas as tentativas devem falhar.
Avalie cada teste como aprovação ou falha. Um fornecedor que não consegue executá-los durante a avaliação não os executará após a contratação.
Como isso se parece em uma rede hoteleira real?
Um hotel urbano de 200 quartos com três contratos de WiFi
Situação. O hotel gerenciava o acesso de visitantes por meio de um Captive Portal incluído pelo seu provedor de banda larga. A equipe usava uma senha compartilhada, alterada trimestralmente. Um fornecedor separado fornecia a filtragem de DNS. Os e-mails dos visitantes chegavam ao marketing como exportações mensais de planilhas sem carimbo de data/hora de consentimento.
O que foi feito. O hotel lançou uma RFP baseada na lista de verificação acima. Ela exigia sincronização de diretório do Microsoft Entra ID, iPSK para impressoras e TVs, política de DNS por rede e consentimento com carimbo de data/hora em cada registro.
Resultado. Três contratos se tornaram um. O acesso de ex-funcionários, anteriormente ativo por até 90 dias até a próxima rotação, agora é encerrado assim que a conta é desativada. Cada registro de marketing possui um carimbo de data/hora de consentimento, permitindo responder a solicitações de acesso a partir de uma única exportação.
Um grupo de 40 propriedades com hardware misto
Situação. Um grupo hoteleiro gerenciava 28 propriedades em Cisco Meraki e 12 propriedades adquiridas em Ruckus. Sua primeira lista de finalistas previa duas plataformas, uma para cada fornecedor de hardware.
O que foi feito. A RFP especificou ambos os fornecedores de hardware e exigiu que uma única plataforma suportasse ambos. Também exigiu um conjunto único de políticas de filtragem e um banco de dados de visitantes unificado em toda a rede.
Resultado. Um único painel agora cobre todas as 40 propriedades. Nenhum ponto de acesso foi substituído. Uma alteração na filtragem para os saguões agora é aplicada em toda a rede em uma única ação, em vez de duas alterações individuais por fornecedor.
Um centro de conferências e eventos gerido pelo conselho local
Situação. Um local do setor público realizava eventos de férias escolares e feiras de negócios nos mesmos pavilhões. Um único filtro rigoroso bloqueava sites que os expositores precisavam para demonstrações ao vivo.
O que foi feito. O local operou duas redes de convidados nos mesmos pontos de acesso. Os saguões públicos receberam uma política estrita de DNS, com a lista IWF bloqueada. Os expositores receberam uma política mais leve protegida por credenciais do dia do evento. A RFP também exigia o Cyber Essentials.
Resultado. Duas políticas agora são executadas em um único conjunto de pontos de acesso sem necessidade de novo hardware. A equipe alterna as políticas por evento diretamente pelo painel, sem reconfigurar controladores.
O que dá errado nas RFPs de WiFi para hotéis e como corrigir?
A RFP é dividida entre três departamentos
O TI escreve a seção da equipe, o marketing escreve a seção de convidados e ninguém escreve a filtragem. Os fornecedores respondem então a três documentos diferentes. Solução: nomeie um único responsável e atribua peso às três seções em um único modelo de pontuação.
O consentimento é agrupado com os termos de uso
Uma única caixa "Eu aceito" cobre o acesso ao WiFi e o marketing. É improvável que esse consentimento cumpra o Artigo 7(4) do GDPR. Solução: exija um opt-in separado e desmarcado, e teste-o durante a prova de conceito.
Senhas compartilhadas da equipe sobrevivem à licitação
Alguns fornecedores propõem uma chave compartilhada para a equipe por ser rápida de configurar. Solução: torne o 802.1X ou iPSK um requisito obrigatório, não uma preferência pontuada.
O filtro é burlado no primeiro dia
Navegadores que utilizam DoH por padrão podem ignorar totalmente a filtragem de DNS. Solução: inclua o teste de DoH na avaliação e exija uma resposta por escrito sobre a aplicação da regra.
O Captive Portal falha em celulares
Portais projetados para desktop frequentemente quebram no mini-navegador cativo do iOS e do Android. Solução: teste em dispositivos atuais e pontue falhas de login como reprovação.
O bloqueio de fornecedor (hardware lock-in) fica oculto na pontuação
Algumas respostas presumem sutilmente que você comprará os próprios pontos de acesso do fornecedor. Solução: especifique seu hardware na RFP e exija suporte por escrito. As Melhores Práticas de Rede para Locais e Empresas em 2026 cobrem escolhas de design mais amplas.
Como as opções de aquisição se comparam?
| Abordagem | Contratos a gerenciar | Novo hardware necessário | Fonte típica de identidade da equipe | Quem detém os dados dos convidados | A quem se destina |
|---|---|---|---|---|---|
| Captive Portal integrado do fornecedor de hardware | 1 por fornecedor de hardware | Substituição total para mudar de fornecedor | Contas gerenciadas no painel do fornecedor | A nuvem do fornecedor de hardware | Uma única propriedade em um único fornecedor de hardware sem metas de marketing |
| Especialistas separados para RADIUS, filtragem e portal de convidados | 3 | Nenhum | Servidor RADIUS sincronizado por script ou manualmente | O fornecedor do portal, sob seus próprios termos | Grupos com engenheiros internos para integrar e atualizar cada sistema |
| Overlay único em nuvem como o Purple | 1 | Nenhum em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme ou Fortinet | Microsoft Entra ID, Okta ou Google Workspace | Você, como proprietário dos dados | Grupos com várias propriedades que desejam uma única trilha de auditoria para equipe e convidados |
Quanto custa e qual é o retorno?
O que precificar
Peça a cada fornecedor o preço de quatro linhas separadamente, para comparar itens equivalentes.
- Licença da plataforma. A Purple vende três planos: Connect, Capture e Engage. Os complementos de segurança SecurePass, Verify e Shield operam sobre eles. Exija que os fornecedores mapeiem cada requisito da RFP para um plano ou complemento específico, para que a cotação não mude após a contratação.
- Hardware. Em pontos de acesso compatíveis, a sobreposição não precisa de hardware novo. Qualquer fornecedor que exija substituição deve cotar o valor integral.
- Integração. Conexões com diretórios, CRM e plataformas de marketing. Pergunte quem constrói cada uma e quem faz a manutenção.
- Tempo interno. Calcule as horas que sua equipe gasta hoje alternando senhas, removendo ex-funcionários e exportando planilhas.
O que você obtém em troca
- Menos contratos. Uma única plataforma substitui fornecedores separados de equipe, visitantes e filtragem, com apenas uma data de renovação e um contrato de processamento de dados.
- Revogação mais rápida. O acesso termina quando a conta do diretório é encerrada, reduzindo a janela de tempo em que um ex-funcionário pode utilizá-lo.
- Dados de visitantes proprietários (first-party). Cada e-mail com consentimento obtido é um contato para o qual você pode fazer marketing direto, sem depender de agências de viagens online.
- Informações sobre visitas. Taxas de visitantes recorrentes e tempo de permanência por propriedade ajudam você a avaliar onde investir.
A Purple trabalha com estabelecimentos desde 2012. Grupos de hospitalidade, incluindo Whitbread, Premier Inn e Stonegate Pubs, operam com a Purple, e a Purple é uma B Corp certificada. Veja Hotéis para detalhes sobre o setor de hospitalidade.
A mesma estrutura de três domínios funciona para redes de Varejo, estabelecimentos de Saúde e Trens. Para hubs de transporte, leia Provedores de plataforma de WiFi para aeroportos: o que exigir na RFP.
Perguntas frequentes
Como é precificado o software de WiFi para hotéis?
A Purple precifica por plano e complemento, não por hardware. Os três planos são Connect, Capture e Engage, com SecurePass, Verify e Shield como complementos de segurança. Sua cotação reflete o plano, os complementos e o número de propriedades que você precisa. Em qualquer RFP, peça a cada fornecedor para mapear todos os requisitos para um plano ou complemento específico. Isso evita que funcionalidades passem para um nível superior após a assinatura e torna as cotações concorrentes diretamente comparáveis.
A Purple pode rodar nos pontos de acesso que já possuímos?
Sim, a Purple roda como uma sobreposição em nuvem em hardwares Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você mantém seus pontos de acesso e controladores, e a Purple adiciona autenticação, filtragem e captura de dados de visitantes na camada superior. Infraestruturas mistas também funcionam, permitindo que um grupo com Cisco Meraki em alguns hotéis e Ruckus em outros execute uma única plataforma. Especifique seu hardware na RFP e peça a cada fornecedor para confirmar o suporte por escrito.
Como migramos os dados de visitantes do nosso provedor atual de Captive Portal?
Mova apenas registros com consentimento comprovável. Peça ao seu provedor atual uma exportação completa que inclua carimbos de data/hora de consentimento e o texto exato com o qual cada hóspede concordou. Registros sem uma data de consentimento comprovável não devem entrar em um novo banco de dados de marketing. Execute a nova plataforma em uma propriedade primeiro, verifique o mapeamento de campos do CRM e, em seguida, faça o rollout propriedade por propriedade. Acorde a exportação por escrito antes de dar o aviso prévio, enquanto o fornecedor atual ainda estiver sob contrato.
A captura de dados de hóspedes por meio do WiFi está em conformidade com o GDPR?
Sim, quando o consentimento é separado, específico e registrado. O Artigo 7(4) do GDPR estabelece que o acesso ao WiFi não pode depender de um aceite de marketing, portanto, o aceite deve ser uma escolha distinta e desmarcada. O Purple usa aceites de escolha consciente, armazena um registro de consentimento com carimbo de data/hora para cada perfil e possui certificação ISO 27001. No Reino Unido, o PECR também se aplica ao marketing por e-mail e SMS. Peça a qualquer fornecedor para mostrar um registro de consentimento exportado durante a avaliação.
O filtragem de DNS é suficiente para o WiFi de hóspedes de hotéis?
A filtragem de DNS atende ao requisito principal para áreas públicas, desde que resista a privilégios de bypass. Ela bloqueia categorias e listas, como a lista de URLs da IWF, sem inspecionar o tráfego criptografado. Sua fraqueza é o DNS over HTTPS, que pode direcionar consultas fora do seu resolvedor. Exija uma resposta por escrito sobre o tratamento de DoH e DNS personalizado e teste isso durante a prova de conceito. Defina políticas separadas para recepções, salas de conferência e redes de funcionários.
Devemos comprar o WiFi para hóspedes do nosso fornecedor de hardware ou de uma plataforma separada?
Escolha uma plataforma separada se você opera com mais de um fornecedor de hardware ou deseja dados de hóspedes que sejam de sua propriedade. Portais cativos integrados atendem a uma única propriedade em um único fornecedor, sem metas de marketing. Uma plataforma independente de hardware mantém suas opções abertas no momento da atualização. Ela também coloca a autenticação de funcionários, a filtragem e o consentimento dos hóspedes em uma única trilha de auditoria. Compare ambos com a tabela de verificação, pontuando cada requisito como aprovado ou reprovado.
Quanto esforço exige a implantação de um WiFi hoteleiro?
A maior parte do esforço está nas integrações e decisões de políticas, não no hardware. Nos pontos de acesso suportados nada é substituído, portanto o trabalho consiste em conectar seu diretório, seu CRM e sua política de filtragem. Combine as categorias de filtragem e o texto de consentimento com seu DPO antes de iniciar a implantação. Execute uma prova de conceito em uma propriedade, conclua os seis testes deste guia e, em seguida, faça o rollout em toda a rede em ondas planejadas.
Definições principais
IEEE 802.1X
O padrão IEEE para controle de acesso à rede baseado em porta. Ele faz com que cada dispositivo comprove sua identidade por meio de um método EAP antes de receber um endereço de rede.
O requisito principal para o WiFi corporativo dos funcionários nesta checklist. Ele substitui a senha compartilhada que protege dispositivos de gestão hoteleira, pontos de venda e back-office.
EAP-TLS
Um método de Extensible Authentication Protocol usado com 802.1X no qual tanto o cliente quanto o servidor apresentam certificados, eliminando totalmente o uso de senhas.
Inclua este método nominalmente na RFP integrado ao Microsoft Entra ID, Okta ou Google Workspace. Um fornecedor que oferece apenas uma senha compartilhada forte representa um alerta vermelho.
PEAP
Um método EAP usado com 802.1X que protege um nome de usuário e senha dentro de um túnel TLS criptografado.
Uma opção aceitável de autenticação de funcionários onde os certificados ainda não foram implantados. Pergunte aos fornecedores quais métodos EAP eles suportam antes de pontuá-los.
RADIUS e Change of Authorisation
RADIUS (Remote Authentication Dial-In User Service) é o protocolo que os access points usam para decidir se um dispositivo pode se conectar. O Change of Authorisation, definido na RFC 5176, permite que o servidor encerre uma sessão ativa.
O teste de exclusão de acesso avalia se a plataforma envia um Change of Authorisation ao desativar a conta ou se aguarda uma nova autenticação. O RADIUS em nuvem também elimina a necessidade de atualizar patches em um servidor local.
iPSK e PPSK
Chaves pré-compartilhadas de identidade e chaves pré-compartilhadas privadas fornecem a cada pessoa ou dispositivo sua própria chave em um único nome de rede, em vez de uma senha compartilhada.
Impressoras de cartão, smart TVs e dispositivos portáteis mais antigos não conseguem executar 802.1X. Exija dois dispositivos no mesmo nome de rede com chaves separadas como comprovação.
SCIM
System for Cross-domain Identity Management, o padrão aberto para criação e remoção de contas entre sistemas, especificado nas RFC 7643 e RFC 7644.
Peça aos fornecedores que demonstrem o fluxo de novos funcionários, transferências e desligamentos vindo do seu diretório sem etapas manuais. Contas de agências e de pessoal temporário são frequentemente esquecidas e mantidas ativas.
WPA3 e Protected Management Frames
O WPA3 exige Protected Management Frames, especificados na IEEE 802.11w, que bloqueiam ataques forjados de desconexão contra clientes.
Inclua WPA3 nos requisitos da equipe e pergunte sobre a compatibilidade do cliente, especialmente para dispositivos mais antigos na infraestrutura.
Captive Portal
A página da web que um convidado vê antes de ficar online, aberta no iOS e Android em um mini-navegador restrito.
Exija personalização de marca por propriedade, múltiplos idiomas e login por e-mail, redes sociais ou SMS, e teste em dispositivos atuais em vez de aceitar capturas de tela.
Passpoint e OpenRoaming
Passpoint, também chamado de Hotspot 2.0, é uma certificação do setor criada sobre o IEEE 802.11u que permite que um dispositivo se conecte automaticamente a uma rede conhecida sem Captive Portal. O OpenRoaming é a federação da Wireless Broadband Alliance baseada no Passpoint.
Exija que os dispositivos retornantes se reconectem sem portal. Trate respostas como "no mapa de desenvolvimento" sem uma data definida como um sinal de alerta.
DNS over HTTPS (DoH)
Um protocolo definido na RFC 8484 que envia consultas de DNS dentro de tráfego web criptografado, o que pode direcionar as consultas para fora de um filtro de DNS.
O principal risco de evasão para filtragem de conteúdo em hotéis. Exija uma resposta por escrito sobre DoH e manipulação personalizada de DNS, e teste com um navegador configurado para DoH.
VLAN
Uma rede local virtual, que separa o tráfego logicamente em switches e pontos de acesso compartilhados.
Você precisa de VLANs separadas para convidados, equipe e pagamentos, no mínimo. O PCI-DSS inclui todo sistema conectado ao ambiente de dados de portadores de cartão no seu escopo, portanto a segmentação mantém o WiFi de convidados fora da sua auditoria de cartões.
Consentimento de GDPR
De acordo com o Artigo 4(11) do GDPR, o consentimento deve ser livremente dado, específico, informado e inequívoco. O Artigo 7(4) estabelece que o consentimento não é livremente dado quando a prestação de um serviço depende do consentimento que ele não precisa.
O acesso ao WiFi nunca deve exigir a adesão ao marketing. Exija uma opção separada e desmarcada e um registro com carimbo de data/hora exportável para solicitações de acesso do titular dos dados.
Exemplos práticos
Um hotel urbano de 200 quartos gerencia o acesso de hóspedes por meio de um Captive Portal fornecido pelo seu provedor de banda larga, uma senha compartilhada de funcionários alterada a cada trimestre, um fornecedor separado de filtragem DNS e exportações mensais de planilhas com e-mails de hóspedes sem data e hora de consentimento. Como ele deve se consolidar?
O hotel lançou uma RFP estruturada com base na checklist. Foram exigidos sincronização de diretório a partir do Microsoft Entra ID, iPSK para impressoras e TVs, política de DNS por rede e um registro de data e hora de consentimento em cada perfil de hóspede. Três contratos se tornaram um só. O acesso de ex-funcionários, que antes permanecia ativo por até 90 dias até a próxima rotação de senha, agora é encerrado assim que a conta é desativada no diretório. Cada registro de marketing possui um registro de data e hora de consentimento, permitindo ao hotel responder a solicitações de acesso a dados a partir de uma única exportação, em vez de reconciliar planilhas de sistemas separados.
Um grupo hoteleiro de 40 propriedades opera 28 propriedades em Cisco Meraki e 12 propriedades adquiridas em Ruckus. Sua lista inicial pré-selecionada assumiu duas plataformas, uma para cada fabricante de hardware. Como a RFP deve ser elaborada?
O grupo citou ambos os fabricantes de hardware na RFP e exigiu por escrito que uma única plataforma oferecesse suporte a ambos. Também exigiu um único conjunto de políticas de filtragem e um banco de dados unificado de hóspedes para todas as propriedades. Isso impediu que o bloqueio de fornecedor de hardware ficasse oculto na pontuação e eliminou a necessidade de duas plataformas. O resultado é um único painel abrangendo todas as 40 propriedades, sem substituição de access points. Uma alteração na filtragem dos saguões agora é aplicada em todas as propriedades em uma única ação, em vez de duas alterações separadas por fornecedor.
Um centro de eventos e convenções administrado pelo conselho municipal recebe eventos de férias escolares e feiras de negócios nos mesmos pavilhões. Um único filtro rigoroso bloqueia sites que os expositores precisam para demonstrações ao vivo. O que o local deve exigir?
O local implementou duas redes de hóspedes nos mesmos access points. Os pavilhões públicos receberam uma política estrita de DNS com bloqueio da lista IWF. Os expositores receberam uma política mais flexível acessada por credenciais do dia do evento. Por se tratar de um local do setor público, a RFP também exigiu Cyber Essentials. Isso aplica o requisito da checklist de política por rede em vez de uma única política global. Duas políticas agora funcionam em um único conjunto de access points sem novos equipamentos, e a equipe altera as políticas por evento diretamente pelo painel, sem reconfigurar controladoras.
Perguntas frequentes
Como o software de WiFi para hotéis é precificado?
A Purple cobra por plano e por recurso adicional, não por hardware. Os três planos são Connect, Capture e Engage, tendo o SecurePass, o Verify e o Shield como adicionais de segurança. A sua cotação reflete o plano, os adicionais e o número de propriedades que você precisa. Em qualquer RFP, peça a cada fornecedor para mapear todos os requisitos para um plano ou adicional específico. Isso evita que os recursos passem para um nível mais alto após a assinatura e torna as cotações dos concorrentes diretamente comparáveis.
O Purple pode rodar nos pontos de acesso que já possuímos?
Sim, o Purple roda como uma sobreposição em nuvem nos hardwares da Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você mantém seus pontos de acesso e controladores, e o Purple adiciona autenticação, filtragem e captura de dados de hóspedes por cima. Ambientes mistos também funcionam; portanto, um grupo com Cisco Meraki em alguns hotéis e Ruckus em outros pode executar uma única plataforma. Especifique seu hardware na RFP e peça a todos os fornecedores que confirmem o suporte por escrito.
Como transferimos os dados dos hóspedes do nosso provedor atual de Captive Portal?
Mova apenas registros com consentimento comprovável. Peça ao seu provedor atual uma exportação completa que inclua os carimbos de data/hora do consentimento e o texto exato com o qual cada hóspede concordou. Registros sem uma data de consentimento comprovável não devem entrar em um novo banco de dados de marketing. Execute a nova plataforma em uma propriedade primeiro, verifique o mapeamento dos campos do CRM e, em seguida, faça a implementação propriedade por propriedade. Acorde a exportação por escrito antes de encerrar o serviço, enquanto o fornecedor atual ainda estiver sob contrato.
A captura de dados de hóspedes por meio do WiFi atende ao GDPR?
Sim, quando o consentimento é separado, específico e registrado. O Artigo 7(4) do GDPR determina que o acesso ao WiFi não pode depender da autorização de marketing, portanto, essa autorização deve ser uma escolha distinta e desmarcada por padrão. O Purple usa autorizações de escolha consciente, armazena um registro de consentimento com carimbo de data/hora para cada perfil e possui certificação ISO 27001. No Reino Unido, o PECR também se aplica ao marketing por e-mail e SMS. Peça a qualquer fornecedor para mostrar um registro de consentimento exportado durante a avaliação.
A filtragem DNS é suficiente para o WiFi de hóspedes de hotéis?
A filtragem DNS atende ao requisito principal para áreas públicas, desde que seja resistente a contornos. Ela bloqueia categorias e listas como a lista de URLs do IWF sem inspecionar o tráfego criptografado. Seu ponto fraco é o DNS over HTTPS, que pode rotear consultas fora do seu resolvedor. Exija uma resposta por escrito sobre o tratamento de DoH e DNS personalizado e teste-o durante a prova de conceito. Defina políticas separadas para saguões, salões de conferência e redes de funcionários.
Devemos comprar o WiFi de hóspedes do nosso fornecedor de hardware ou de uma plataforma separada?
Escolha uma plataforma separada se você opera com mais de um fornecedor de hardware ou deseja possuir os dados dos seus hóspedes. Portais captivos integrados atendem a uma única propriedade com um único fornecedor e sem metas de marketing. Uma plataforma independente de hardware mantém suas opções abertas no momento da atualização. Ela também coloca a autenticação de funcionários, a filtragem e o consentimento de hóspedes em uma única trilha de auditoria. Compare ambas em relação à tabela de checklist, pontuando cada requisito como aprovação ou falha.
Quanto esforço exige a implementação do WiFi para hotéis?
A maior parte do esforço está nas integrações e decisões de política, não no hardware. Nos pontos de acesso suportados, nada é substituído; portanto, o trabalho consiste em conectar seu diretório, seu CRM e sua política de filtragem. Defina as categorias de filtragem e o texto de consentimento com seu DPO antes do início da implementação. Execute uma prova de conceito em uma propriedade, conclua os seis testes deste guia e, em seguida, faça a implementação em todo o complexo em ondas planejadas.
Fontes
- GDPR, Regulation (EU) 2016/679, Articles 4(11) and 7(4)
- Privacy and Electronic Communications (EC Directive) Regulations 2003
- RFC 8484: DNS queries over HTTPS (DoH)
- RFC 5176: Dynamic authorization extensions to RADIUS
- RFC 7643: SCIM core schema
- PCI Security Standards Council: PCI DSS v4.0
- Internet Watch Foundation
- Friendly WiFi accreditation scheme
Continue a ler esta série
Como Implementar Restrições de Tempo e Largura de Banda no WiFi de Visitantes
Um guia de referência técnica definitivo sobre a implementação de restrições de tempo e largura de banda em redes WiFi de visitantes corporativas. Este guia fornece modelos de arquitetura práticos, configurações neutras de fornecedor e estudos de caso reais para ajudar líderes de TI a equilibrar o desempenho da rede, a conformidade de segurança e a experiência do visitante.
WiFi Amigável para Famílias: Melhores Práticas para Shopping Centres
Este guia de referência técnica fornece metodologias acionáveis para a implementação de filtragem de URL baseada em categoria em redes de WiFi de visitantes em ambientes de varejo. Ele detalha a arquitetura de rede, definição de políticas e estratégias de mitigação de risco para garantir a conformidade e proteger a reputação da marca.
Acesso Seguro de Convidados: Implementando NAC para Dispositivos Não Gerenciados
Este guia de referência técnica detalha a arquitetura, a implantação e as considerações de conformidade para a implementação do Controle de Acesso à Rede (NAC) para proteger dispositivos de convidados não gerenciados. Ele fornece orientações práticas para que líderes de TI alcancem um acesso seguro de convidados sem comprometer a infraestrutura corporativa.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 locais. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua situação o resolveram.