Está no átrio outra vez. Um visitante tenta ler a palavra-passe num cartão impresso. O portátil de um funcionário perde a ligação a meio de uma reunião. A pessoa que gere o edifício não sabe dizer quem está na rede. Essa mistura é habitual em hotéis, escritórios, clínicas e centros comerciais, e é a razão pela qual o WiFi nas empresas deixou de ser uma cortesia há anos.
A palavra-passe partilhada funcionava quando alguns portáteis se ligavam a um único escritório. Falha quando convidados, prestadores de serviços, caixas registadoras, câmaras e sistemas de acesso partilham todos o mesmo meio sem fios. Os visitantes esperam ligar-se à internet. Os funcionários esperam que uma chamada não vá abaixo. A gestão de instalações espera que os equipamentos do edifício continuem a funcionar. Ninguém consegue auditar essa mistura de memória.
Por que razão o WiFi se tornou um serviço empresarial fundamental
O cartão na mesa da receção é um vestígio do passado. Ao longo do início da década de 2010, a rede sem fios pública deixou de ser uma novidade para se tornar algo que as pessoas utilizavam nos locais que já visitavam: estações, hotéis, lojas e edifícios públicos.
Os pontos de acesso WiFi público no Reino Unido aumentaram de 33 851 em junho de 2013 para 41 798 em junho de 2014, um aumento de 7 947 locais, ou cerca de 23,5% num ano, enquanto o tráfego de WiFi público atingiu 1 514 630 GB em junho de 2013. Em setembro de 2015, o WiFi gratuito tinha sido instalado em mais de 1 000 edifícios em 22 cidades do Reino Unido, centenas de autocarros e elétricos em nove cidades ofereciam acesso, e mais de 2,6 milhões de utilizadores únicos tinham utilizado o plano de transportes, a par do programa Super-Connected Cities e do trabalho de conectividade em torno dos Jogos Olímpicos de Londres 2012 (crescimento do WiFi público no Reino Unido).
O que o edifício assumiu
Essa expansão ocorreu nos transportes, na hotelaria, no comércio e em espaços públicos. Um hotel, uma estação e um edifício municipal passaram subitamente a gerir um serviço que os seus clientes consideravam habitual. Os funcionários trouxeram portáteis. As ferramentas na nuvem assumiram que a ligação se manteria. O access point no teto tornou-se uma infraestrutura partilhada, não uma regalia que se pudesse desligar num dia calmo.
Uma regra para edifícios: se clientes, funcionários e visitantes esperam ligar-se à internet dentro do seu espaço, a rede sem fios faz parte do funcionamento do edifício.
Para quem gere locais em vez de cabos, a mudança é prática. Já não está a decidir se vai oferecer WiFi. Está a decidir quem se pode ligar, o que pode aceder e como saberá se a divisão se mantém após a próxima remodelação, alteração de fornecedor ou troca de dispositivos.
As TI empresariais herdaram a mesma expetativa. O trabalho móvel, o acesso de convidados e as operações com suporte de dados utilizam o mesmo meio físico. Uma chamada perdida numa sala de reuniões e um visitante bloqueado numa página de início de sessão são ambas falhas de serviço, mesmo quando a falha reside em partes diferentes do projeto. Trate o serviço como algo que governa. Uma única rede plana não irá suportar clientes, funcionários e sistemas do edifício ao mesmo tempo.
O WiFi de Convidados e de Funcionários Serve Funções Diferentes
Durante um evento concorrido, um visitante liga-se ao WiFi do átrio enquanto os funcionários utilizam sistemas atrás da receção. Ambas as ligações passam pelo mesmo edifício, mas não devem abrir as mesmas portas. O WiFi de convidados e de funcionários precisa de regras de acesso separadas, e equipamentos como câmaras e controladores de portas também necessitam dos seus próprios limites.
Conceito-chave: As zonas separadas funcionam como áreas distintas num edifício. Um visitante pode entrar na receção, enquanto os funcionários e os equipamentos do edifício têm acesso apenas aos espaços exigidos pelo seu trabalho.
O tráfego de convidados é temporário. Os hóspedes de hotéis, clientes de lojas, familiares de doentes e participantes em eventos precisam de uma forma fácil de se ligarem, com o acesso limitado à internet. O tráfego de funcionários suporta o trabalho, como e-mail, registos e ferramentas de pagamento, pelo que o acesso deve estar associado a uma pessoa autorizada ou a um dispositivo gerido. O tráfego de dispositivos é novamente diferente. Impressoras, painéis de salas, câmaras e controladores de portas muitas vezes não têm uma pessoa no comando, e a sua manutenção pode pertencer a um fornecedor ou à equipa de instalações.
Colocar estes três grupos numa única rede sem restrições é como dar a cada visitante uma chave para as instalações internas. Um telefone comprometido, um clique acidental ou uma conta antiga de um prestador de serviços podem expor sistemas de pagamento, registos de funcionários ou controlos do edifício.
Conceito-chave: A separação é uma regra operacional contínua, não uma configuração única. Mudanças de instalações, alterações de fornecedores, eventos temporários e substituição de equipamentos podem enfraquecer gradualmente os limites originais.
Uma rede pode estar bem dividida quando é instalada pela primeira vez, sofrendo depois desvios à medida que o edifício muda. Um novo ponto de acesso pode herdar definições amplas; um fornecedor pode adicionar equipamento sem atualizar as regras de acesso; uma ligação temporária para um evento pode permanecer ativa posteriormente. O risco reside no facto de uma rede ter sido mal projetada. Reside no facto de as suas permissões já não corresponderem a quem utiliza cada espaço ou dispositivo.
Uma verificação prática consiste em testar até onde cada zona consegue aceder. Um telemóvel no WiFi de visitantes consegue ligar-se a uma caixa registadora, a uma estação de trabalho clínica ou ao controlador do edifício? Repita a verificação após uma remodelação, mudança de fornecedor ou substituição de dispositivos, e não apenas aquando da instalação. O guia de WiFi para convidados explica como planear o acesso de visitantes.
Conceito-chave: Uma zona só é útil quando as suas regras de acesso correspondem à sua finalidade e são verificadas à medida que o local muda.
Uma verificação rápida de zona
- Zona de convidados: apenas acesso à internet, sem rota para os sistemas de funcionários, equipamentos de pagamento ou controlos do edifício, e um processo de início de sessão que pode ser revogado.
- Zona de funcionários: acesso para utilizadores autorizados ou dispositivos geridos, com registos do que se conetou.
- Zona de dispositivos: apenas equipamento conhecido, acesso de saída limitado e um proprietário identificado nas instalações ou no contrato do fornecedor.
Se não conseguir desenhar estas zonas e as suas ligações permitidas numa única página, é possível que os limites se tenham perdido. Grandes infraestruturas podem perder a separação através de alterações comuns, mesmo quando o projeto original era sólido.
Acesso Baseado em Identidade: Das Palavras-passe aos Certificados
Uma palavra-passe partilhada é como uma chave copiada num cartão, num quadro branco e em dezenas de telefones. Quando alguém sai, ou quando esse cartão é fotografado, não é possível recuperar a chave sem a alterar para todos os que ainda estão no edifício.
O 802.1X altera a ordem dos acontecimentos. Antes de um dispositivo ter permissão para entrar, um servidor de autenticação verifica quem, ou o quê, está a solicitar a adesão. O ponto de acesso e o dispositivo acordam então chaves de encriptação apenas para essa sessão. Não existe uma palavra-passe única a proteger a entrada, pelo que uma fuga não expõe todo o piso. A revogação individual torna-se possível e obtém um registo que vincula uma identidade a um dispositivo.
O UK National Cyber Security Centre identifica os certificados criptográficos de dispositivos como um dos controlos mais eficazes para decidir se um dispositivo pode juntar-se a uma rede, citando o 802.1X com WPA2-Enterprise ou WPA3-Enterprise para acesso sem fios (orientações do NCSC sobre shadow IT). Os pontos de acesso ligados à Internet também se enquadram nos requisitos de infraestrutura do Cyber Essentials, pelo que a rede sem fios se situa no perímetro de segurança e não ao seu lado.
Como é executada a verificação
- O dispositivo pede para aderir à rede de funcionários.
- O ponto de acesso não confia nesse pedido por si só. Encaminha a verificação para um servidor de autenticação.
- O servidor valida um certificado, ou uma conta de diretório, para esse utilizador ou dispositivo.
- Apenas nessa altura a sessão recebe as suas próprias chaves de encriptação. Revogar um portátil não obriga a uma nova palavra-passe para o resto do piso.
Os certificados adequam-se a portáteis e telemóveis geridos. As TI emitem uma credencial que o dispositivo guarda, e a sua remoção retira o acesso. O início de sessão por diretório, incluindo o início de sessão único, adequa-se a colaboradores que já possuem uma conta da empresa. Quando essa conta é desativada, o acesso sem fios deve ser interrompido no próprio dia. Um caminho de dispositivo restrito adequa-se a equipamento que não pode guardar um certificado. Este não se junta à rede de colaboradores. Recebe um segmento estreito e uma credencial que pode eliminar de forma independente.
Nomes partilhados e credenciais partilhadas também facilitam a usurpação de identidade. Um access point não autorizado pode anunciar uma rede familiar e recolher a frase de passe que as pessoas já conhecem. É útil detetar ameaças de WiFi evil twin antes de considerar o nome no ecrã como prova de que está na sua própria rede.
Quando alguém sai, revoga-se a permissão de uma pessoa ou de um dispositivo. Não se volta a imprimir o cartão na receção.
Conceber a rede para capacidade e resiliência
Os pontos de acesso são as vias de acesso. A linha de banda larga é a autoestrada. Uma via de acesso mais larga não ajuda se a autoestrada estiver congestionada, e uma linha rápida não ajuda se todos os dispositivos estiverem a competir pela mesma faixa de sinal.
O relatório Connected Nations 2024 da Ofcom revelou que 75% das instalações no Reino Unido, somando habitações e empresas, tinham aderido a banda larga de pelo menos 30 Mbit/s até julho de 2024, face aos 72% anteriores, enquanto a disponibilidade de fibra integral tinha atingido cerca de 59% das instalações, a adesão onde estava disponível era de 35% ( 7,5 milhões de instalações), e cerca de 7% das instalações, incluindo pequenas e médias empresas, tinham banda larga razoável através de acesso sem fios fixo (Connected Nations 2024).
Um escritório numa cidade com fibra dedicada e um hotel rural com uma linha mais fraca não partilham a mesma margem de manobra. Aplicações na nuvem, voz, vídeo, verificações de identidade e um pico de convidados consomem todos essa linha. Um upload fraco ou uma ligação de backhaul congestionada irão comprometer um planeamento sem fios cuidado, e os edifícios comerciais mais antigos costumam esconder essa limitação até o átrio ficar cheio.
Espectro adicional, não uma substituição
As organizações do Reino Unido podem utilizar a fração de 5,925–6,425 GHz da banda de 6 GHz para WiFi 6E e WiFi 7, cerca de 500 MHz de espetro adicional, embora a alocação no Reino Unido seja mais estreita do que os 1 200 MHz totais disponibilizados noutros países (notas da Jisc sobre WPA3, Wi-Fi 6E e eduroam). Centros de congressos, hospitais, pontos de transbordo de transportes, centros comerciais e estádios esgotam frequentemente o tempo de transmissão por rádio antes de esgotarem a largura de banda. Canais mais amplos de 80 MHz ou 160 MHz aumentam a capacidade quando os clientes suportam a banda.
Os 6 GHz não substituem os 5 GHz. Têm um alcance menor e maior dificuldade em ultrapassar paredes, pelo que complementam uma cobertura mais ampla em vez de a substituir. Os planeadores também obtêm menos canais largos sem sobreposição do que uma brochura genérica sugere, o que exige um plano de canais ajustado à região e não uma cópia do projeto de outro país.
Avaliie a rede pelo nível de ocupação do meio sem fios, não pela velocidade impressa no access point.
As verificações que realmente importam são a utilização do canal, a taxa de repetição, a latência de roaming e o tempo de antena por cliente. Uma velocidade nominal pode parecer excelente enquanto um dispositivo portátil no limite de uma enfermaria passa o tempo a aguardar ou a reconectar-se. Inspecione o edifício antes de comprar mais hardware. Um site survey de WiFi estruturado justifica o seu valor onde a densidade ou os materiais espessos tornam os palpites dispendiosos. Coloque 6 GHz nas zonas mais movimentadas e em dispositivos geridos modernos, mantenha os 5 GHz para o alcance e clientes mais antigos, e teste o roaming exatamente como uma pessoa caminha entre pisos.
Comparação entre Passpoint, OpenRoaming e Captive Portals
O início de sessão de convidados é uma escolha de produto e não apenas uma página única correta. Três modelos cobrem a maioria dos espaços no Reino Unido, equilibrando atrito, visitas de retorno, adequação do fornecedor e esforço de administração de diferentes formas.
Um Captive Portal é a página familiar com termos e, frequentemente, um formulário curto. A fricção é elevada porque as pessoas param e escrevem. Os visitantes recorrentes habitualmente repetem o processo. Quase qualquer ponto de acesso pode apresentar uma página de navegador, pelo que a interoperabilidade é ampla. A carga administrativa reside na página, no registo de consentimento e em tudo o que faz com os endereços recolhidos. É adequado para uma visita pontual onde necessita de um momento explícito de aceitação de termos.
O Passpoint, também chamado Hotspot 2.0, utiliza um perfil para que um dispositivo de confiança se conete sem um novo formulário. A configuração inicial exige mais cuidado. Depois disso, as visitas de regresso são discretas, o que é importante num hotel ou num campus que as pessoas utilizam toda a semana. Necessita de pontos de acesso que suportem o perfil, pelo que isto é menos "qualquer caixa no teto" e mais um projeto planeado.
O OpenRoaming é uma estrutura federada baseada no Passpoint. Um convidado que já se tenha autenticado num ambiente participante pode juntar-se a outro sem uma nova página de Captive Portal. Passa menos tempo a emitir palavras-passe locais e depende mais do suporte do dispositivo e da própria federação.
| Abordagem | Frição no início de sessão | Visitantes recorrentes | Entre fabricantes | Carga de administração |
|---|---|---|---|---|
| Captive Portal | Uma página de cada vez | Fraca | Ampla | Páginas, formulários, registos |
| Passpoint | Baixa após perfil instalado | Forte nessa rede | Requer equipamento compatível | Perfis e confiança |
| OpenRoaming | Baixa entre parceiros | Forte onde existem parceiros | Federação e equipamento local | Menos gestão local de palavras-passe |
O Purple é uma plataforma neste conjunto. Possui certificação OpenRoaming e Passpoint, permite que um convidado se autentique uma vez por e-mail e se volte a ligar numa visita posterior, funciona com Meraki, Aruba, Ruckus, Mist e UniFi, e suporta iPSK para dispositivos mais antigos a par de SSO para funcionários. Um Captive Portal simples, ou uma estrutura Passpoint própria do local, continua a ser uma opção válida a seu lado.
Um pequeno bar pode precisar apenas de uma página de convidados e de uma rede separada. Um grupo hoteleiro ganha mais com visitas de regresso automáticas. Um hospital não deve colocar dispositivos clínicos num perfil de itinerância de convidados. Adapte o modelo ao tempo de permanência, às obrigações de privacidade e ao hardware já instalado no teto.
Transformar os dados de WiFi em ROI mensurável
Os dados de WiFi em primeira mão representam a relação com o visitante que o local já detém, uma vez que a pessoa tenha concordado com esse percurso. Uma sessão autenticada pode mostrar uma visita, um regresso e o tempo de permanência. Não se trata de uma suposição comprada a uma rede de anúncios externa, nem de uma razão para recolher tudo o que um telemóvel possa revelar.
As ferramentas de analítica, os conectores do CRM e a automatização de marketing transformam dados recolhidos com consentimento em jornadas sobre as quais uma equipa pode atuar. Um hotel consegue ver quem regressa a meio da semana. Um centro comercial identifica quais as visitas que se seguem a um evento. Inquéritos opcionais adicionam contexto nas próprias palavras do convidado, e suplementos de segurança extra mantêm esse canal dentro do mesmo limite de proteção do resto da rede. O limite útil é o consentimento. Se não consegue explicar o motivo pelo qual um campo é guardado, não o guarde.
Quatro ações que pode contabilizar
- Defina uma referência. Conte as visitas e conte quantas pessoas abandonam a página de início de sessão antes de se ligarem. Esse par pertence ao seu local, e não a uma referência de outro lugar qualquer.
- Meça a alteração. Após o novo caminho de acesso estar ativo, compare a taxa de conclusão e as visitas repetidas com a referência que registou.
- Atribua apenas o que consegue rastrear. Associe uma visita repetida ou uma resposta a um inquérito a uma campanha ou a uma alteração no local. Ignore tudo o que não conseguir associar a uma causa.
- Conte o tempo operacional. Menos pedidos manuais de palavra-passe, menos chamadas para a receção a dizer que "o WiFi não funciona" e menos horas a reemitir uma chave partilhada são ganhos, mesmo quando o marketing não é o objetivo.
Os setores de hotelaria, retalho, saúde, transportes, eventos e residenciais não partilham uma única métrica de sucesso. Um estádio preocupa-se que a entrada no sistema seja concluída sob a pressão dos dias de jogo. As residências universitárias preocupam-se que os residentes permaneçam ligados sem passar uma palavra-passe pelo corredor. Uma clínica preocupa-se, em primeiro lugar, que o tráfego de visitantes nunca toque nos sistemas clínicos, sendo o feedback um benefício secundário. Este guia de analítica de WiFi ajuda-o a decidir quais desses sinais tem autorização para guardar.
Se não consegue definir o ponto de partida, não pode afirmar que o projeto se pagou a si próprio.
Dar o próximo passo com o WiFi empresarial
Comece por um único local e não por toda a infraestrutura. A sequência abaixo é a ordem que evita a compra de hardware antes de saber quem está a utilizar a rede.
Liste os nomes das redes esta semana. Anote todos os nomes que um telefone consegue detetar e verifique se os convidados, os funcionários e os dispositivos estão separados. Os nomes numa lista não contam se os caminhos subjacentes forem partilhados.
Faça o inventário dos dispositivos silenciosos. Impressoras, telefones ligados à internet, sistemas de controlo de acessos a edifícios e painéis de reserva de salas operam frequentemente na rede WiFi da empresa e pertencem muitas vezes ao departamento de instalações ou a um fornecedor. A investigação do Governo do Reino Unido publicada em 2025 encontrou vulnerabilidades graves em dispositivos conectados empresariais de uso comum, incluindo falhas de execução remota de código sem autenticação, software desatualizado, configurações inseguras e dispositivos a executar processos com privilégios de utilizador root (investigação sobre dispositivos conectados empresariais). Um acesso mais seguro para os funcionários não repara uma impressora totalmente exposta.
Testar o caminho para a internet. Confirme que a banda larga, ou a ligação sem fios fixa, consegue suportar a hora de maior tráfego. Uma camada de acesso organizada sobre uma linha saturada continuará a falhar na receção às 17:00.
Corresponda um modelo de início de sessão a cada grupo. Certificados ou início de sessão por diretório para dispositivos geridos de funcionários. Uma página de captive portal, Passpoint ou roaming federado para convidados. Um segmento bloqueado, com a sua própria credencial, para qualquer elemento que não consiga efetuar uma autenticação moderna. Quando um fornecedor substitui uma unidade, a nova unidade herda o segmento, não um atalho para a rede de funcionários.
Faça um piloto num edifício. Escolha o local com maior fluxo de pessoas ou a lacuna mais evidente, como uma área de pagamentos que ainda partilha o sinal com os visitantes. Execute o piloto durante tempo suficiente para incluir uma mudança, uma visita de fornecedor e a substituição de um dispositivo. Em seguida, verifique se o isolamento dos visitantes se mantém.
O que analisar após o piloto
Analise apenas quatro resultados. O tráfego de visitantes não consegue aceder a nada interno. Um colaborador que saiu perdeu o acesso no mesmo dia. As áreas densas mantiveram-se utilizáveis segundo as métricas escolhidas. A taxa de conclusão do início de sessão evoluiu face à sua própria linha de base. Se esses quatro pontos estiverem saudáveis, replique o modelo para o local seguinte. Se não estiverem, corrija o piloto antes de o expandir. A lista de SSID é a ação que pode concluir antes do final da semana, no edifício que recebe mais visitantes ou que lhe causa maior preocupação.
A Purple oferece WiFi baseado em identidade para convidados, colaboradores e edifícios multiarrendatários, para que uma palavra-passe partilhada de receção seja substituída por um acesso que pode segmentar e revogar. Se os seus locais precisam de jornadas de convidados e de início de sessão de colaboradores na mesma infraestrutura, sem tratar a rede sem fios como um recurso acessório, comece pelo edifício com o maior afluxo de pessoas ou com a falha de segurança mais crítica. Visite a Purple para discutir uma implementação concebida para entrar em funcionamento em semanas, em vez de meses.
