酒店 WiFi RFP 检查清单：身份验证、内容过滤与访客营销

一份酒店 WiFi RFP 清单应当在一次招标中测试三种能力。员工身份验证必须使用 IEEE 802.1X 或与您的身份提供商绑定的个人专属密钥。内容过滤必须按网络应用 DNS 策略。访客数据捕获必须记录每一次勾选同意的 GDPR 合规授权。一次招标即可为您带来一份合同、一个控制面板和一条审计追踪。

酒店 WiFi RFP 清单究竟涵盖哪些内容？

大多数酒店分三个独立部分采购 WiFi：

• 员工接入归口 IT 部门，通常作为隐藏网络上的共享密码。
• 访客接入归口 Captive Portal 供应商，要么由市场部门选择，要么由宽带提供商捆绑提供。
• 内容过滤归口第三方，或者根本没有部署。

每个部分独立运行。但组合在一起时，它们会产生三份合同、三个控制面板和三套永远对不上的日志。当一名员工离职时，他们的 WiFi 访问权限往往会保留到下一次更改密码。当访客询问您持有他们哪些数据时，答案可能存在于您的数据保护官（DPO）从未审计过的系统中。

一份统一的酒店 WiFi RFP 清单可以通过同时对供应商在所有三个领域进行评分来解决这个问题：

• 员工身份验证：谁加入了员工网络、他们如何证明自己的身份，以及离职时访问权限注销的速度有多快。
• 内容过滤：在哪个网络上屏蔽了哪些类别的网站，以及绕过过滤器有多难。
• 访客数据捕获与营销：访客如何连接、您了解到了关于他们的哪些信息，以及每一条营销记录是否都带有合法授权。

该清单假设您保留现有的无线接入点。Purple 作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 硬件之上。因此，您的 RFP 可以专注于软件和数据，而不是整体替换工程。为什么您的下一次 WiFi 升级不需要新硬件 详细阐述了硬件相关的论据。

在撰写 RFP 之前您需要准备什么？

供应商会根据您撰写的 RFP 进行应答。模糊的要求会导致模糊的应答，最终得分都一样。在起草任何问题之前，请先收集六项输入信息。

接入点和控制器清单

列出每个场所的接入点供应商、控制器或云端控制面板以及固件版本。注明资产存在差异的地方，例如较新的门店使用 Cisco Meraki，收购的门店使用 Ruckus。要求供应商按名称确认对每种组合的支持。

您的单一身份真实来源

明确保存您员工账户的目录：Microsoft Entra ID、Okta 或 Google Workspace。记录中介人员和季节性员工在其中的显示方式。这些账户往往是有人离职后最容易保持激活状态的账户。

网络分段图

画出您当前的 VLAN。VLAN（虚拟局域网）可以在共享交换机和接入点上对流量进行逻辑隔离。您至少需要相互隔离的访客网络、员工网络和支付网络。PCI DSS 会将连接到持卡人数据环境的每个系统都纳入审核范围。合理的网络切分可以使您的访客网络远离刷卡支付审计。

明确过滤策略的负责人

确定由谁来制定过滤规则：IT 部门、法务部门还是运营部门。然后决定哪些区域应用哪种策略。供家庭使用的休息大堂与挤满展商的会议厅需要不同的规则。

数据保护立场

与您的 DPO（数据保护官）达成一致，明确您需要哪些访客数据、为何需要这些数据以及数据的去向。根据 GDPR 第 4(11) 条的规定，同意必须是自愿给予的、特定的、知情的且明确无误的。在英国，隐私与电子通信法规（PECR）同样管辖电子邮件和短信营销。在供应商询问之前，请先明确您的 CRM 或营销平台。

射频（RF）基线

身份验证无法解决信号覆盖弱的问题。在招标之前，请从控制器拉取信道利用率报告，或进行一次现场勘测。如果 2.4GHz 拥堵是已知的痛点，请先阅读 WiFi 信道终极指南：2.4GHz 与 5GHz 深度解析。

如何逐章构建核对清单？

将每项需求写成一个可以用“是”、“否”或“凭证”回答的问题。“支持企业级安全”会让所有供应商得分相同。而“支持基于 Microsoft Entra ID 的 EAP-TLS，并在账号禁用时自动撤销”则能将他们区分开来。

员工身份验证需求

员工 WiFi 承载着您的物业管理系统、POS 终端、客房打扫平板电脑和后勤办公笔记本电脑。在该网络上共享密码存在单点故障风险。请要求提供以下功能：

• IEEE 802.1X。 这个用于基于端口的网络访问控制的 IEEE 标准，要求每个设备在获取地址之前先证明其身份。询问供应商支持哪些 EAP 方法。EAP-TLS 在双方均使用证书，完全免去了密码。PEAP 则在加密的 TLS 隧道内保护用户名和密码。
• Cloud RADIUS。 RADIUS（远程认证拨号用户服务）是接入点用来决定设备是否可以加入网络的协议。云原生 RADIUS-as-a-Service 服务消除了原本需要您亲自打补丁和备份的本地服务器。
• iPSK 或 PPSK。 身份预共享密钥（iPSK）和私有预共享密钥（PPSK）允许每个人或设备在同一个网络名称下拥有独立的密钥。刷卡机、智能电视和旧款手持设备无法支持 802.1X，因此它们需要此功能。
• 目录同步。 SCIM（跨领域身份管理系统）是在不同系统之间创建和删除账号的开放标准。要求供应商展示新员工入职、调岗和离职信息如何从您的目录中自动流转，无需任何手动步骤。
• WPA3。 WPA3 需要受保护的管理帧 (IEEE 802.11w)，可有效阻挡伪造的断开连接攻击。受保护的管理帧：2026年实用指南 涵盖了需要了解的客户端兼容性问题。

Purple 的 Identity-Based Networks 为网络中的每名员工分配专属身份。当您在目录中停用某个账户时，Purple 会立即撤销该员工的 WiFi 访问权限。

访客身份验证要求

入网流程决定了访客能否成功连接网络。每增加一个表单字段都会损失连接转化，而每减少一个字段则会损失数据。建议明确以下要求：

• 可配置的 Captive Portal。 Captive Portal 是访客上网前看到的网页。要求支持按门店设置品牌形象、多语言支持以及多种登录方式选择：电子邮件、社交账号登录或短信验证。
• 成熟的移动端表现。 iOS 和 Android 系统会在受限的迷你浏览器中打开 Captive Portal。在评估过程中，应要求在最新的 iOS 和 Android 版本上进行实机登录演示，而不是仅看截图。
• Passpoint 和 OpenRoaming。 Passpoint（也称为 Hotspot 2.0）是一项基于 IEEE 802.11u 的行业认证。它允许设备自动且安全地加入已知网络，无需弹出 Captive Portal。OpenRoaming 是基于 Passpoint 构建的无线宽带联盟 (Wireless Broadband Alliance) 联合体。它允许访客使用现有身份直接连接。
• 会话与带宽控制。 要求支持按网络限制带宽、会话时长控制以及单访客设备数量限制。
• 客户端隔离。 同一网络上的访客不应看到彼此的设备。要求默认开启客户端隔离功能。

Purple 的 Guest WiFi 在全球 90 多个国家/地区的 80,000 多个活跃场所运行该层级服务。根据 Purple 的平台数据，该系统在 2024 年处理了 4.4 亿次登录。

内容过滤要求

酒店通常在公共共享空间（包括家庭宾客区）提供公共互联网接入。DNS 过滤是通用的解决办法：平台拒绝解析被封禁类别中的域名。建议明确以下要求：

• 基于类别的 DNS 过滤，并提供指定的分类来源。在英国，要求至少包含互联网监视基金会 (IWF) 的 URL 列表。
• 按网络制定策略。 大堂和家庭区域应用严格的策略。会议厅和员工网络则分别使用各自的独立策略。
• 防绕过能力。 基于 HTTPS 的 DNS (DoH, RFC 8484 规定) 会在加密的 Web 流量中发送 DNS 查询，可能会绕过您的过滤器。询问厂商如何处理 DoH 以及自行指定 DNS 服务器的访客。
• 合规认证。 在英国，询问您的部署是否符合 Friendly WiFi 标准，这是英国政府发起的已过滤公共 WiFi 认证计划。
• 日志保留控制。 过滤日志可以识别到个人，因此适用 GDPR。询问日志保留多长时间以及谁有权限调阅。

访客数据采集与营销要求

访客 WiFi 是到店用餐者、会议代表和中介预订客户向您直接表明身份的唯一触点。需满足以下要求：

• 基于明智选择的同意。 营销同意必须是一个单独且未勾选的选项。GDPR 第 7(4) 条规定，如果一项服务的提供依赖于它并不需要的同意，则该同意不可视为自由给予。WiFi 接入绝不能强制要求勾选营销同意。
• 带时间戳的同意记录，覆盖每个档案，并可在收到数据主体调阅请求时导出。
• 具名的 CRM 和营销平台集成，并在响应中展示字段映射。
• 到访分析：新访客与回头客对比、停留时间以及按门店统计的到访频率。WiFi Analytics 可按场馆提供这些报告。
• 数据所有权。 合同中应明确指出访客数据属于您的一方数据，并在服务终止时提供完整导出。

平台、安全和合规要求

• 认证。 要求提供现行 ISO 27001 证书，对于英国公共部门项目还需提供 Cyber Essentials。Purple 拥有 ISO 27001 和 Cyber Essentials 认证，并符合 GDPR 和 CCPA 规定。
• 正常运行时间。 将此承诺写入 SLA 中。Purple 公布的平台正常运行时间为 99.999%。
• 管理员登录。 SAML（安全断言标记语言）允许您的团队使用其目录账户登录控制面板。可结合按门店分配的管理员角色使用。
• 无线测试凭据。 PCI DSS v4.0 要求 11.2.1 要求您至少每三个月检测一次已授权和未授权的无线接入点。请询问平台或您的控制器为此能提供何种报告。

清单一览

领域	必备要求	需索取的凭据	警告信号（红牌回答）
员工身份验证	采用 EAP-TLS 或 PEAP 的 IEEE 802.1X	针对您的 Microsoft Entra ID、Okta 或 Google Workspace 租户进行实时演示	"使用复杂的共享密码"
员工设备	每台设备配备 iPSK 或 PPSK	同一网络名称下的两台设备使用独立密钥	"把打印机放在访客网络上"
离职人员处理	目录同步及自动撤销	禁用测试账户并记录断开连接的时间	"管理员手动删除账户"
访客入网	带有邮箱、社交账号和 SMS 选项的 Captive Portal	在最新的 iOS 和 Android 版本上登录	Portal 仅在桌面端显示
无缝无感返回	Passpoint 和 OpenRoaming	返回设备重新连接时无需弹出 Portal	"在路线规划中"但无具体日期
内容过滤	按网络配置 DNS 类别策略	在大堂和会议网络上进行已拦截类别的测试	所有网络共用同一个策略
绕过过滤器	DoH 及自定义 DNS 处理	使用设置了 DoH 的浏览器进行测试	对 DoH 无任何回应
同意	独立且未勾选的营销同意	带有时间戳的已导出同意记录	同意选项与使用条款捆绑
数据所有权	访客数据属于您的一方数据	合同条款及导出格式	供应商在不同客户之间复用数据
合规性	ISO 27001、GDPR、PCI-DSS 分区	当前证书和数据处理协议	证书“办理中”

签约前如何测试供应商的答复？

书面答复总是表现良好。在一家门店进行概念验证（PoC）才能展现真实效果。对每家入围供应商运行这六项测试。

1. 入职测试。 在您的目录中创建一个员工账户。记录该员工能够加入员工网络所需的时间。
2. 离职测试。 禁用该账户。询问平台是发送 RADIUS 授权变更 (RFC 5176) 以终止活动会话，还是等待重新认证。
3. 访客登录测试。 使用最新的 iPhone、Android 手机和笔记本电脑登录。记录每次失败和每一次多余的点击。
4. 过滤测试。 在大堂网络上访问受阻类别，然后在会议网络上重复此操作。在浏览器设置为 DoH 的情况下再次测试。
5. 同意测试。 在一台设备上选择同意，在另一台设备上选择拒绝。然后请求这两条记录，就像处理数据主体访问请求一样。
6. 分区测试。 从访客设备尝试访问员工打印机和 POS 机地址。两次尝试均应失败。

将每项测试记为通过或不通过。评估期间无法运行这些测试的供应商，在中标后也无法运行。

在真实的酒店资产中这看起来如何？

拥有 3 份 WiFi 合同的 200 间客房城市酒店

现状。 该酒店通过其宽带提供商捆绑的 Captive Portal 提供访客网络接入。员工使用同一个共享密码，每季度更换一次。由另一家供应商提供 DNS 过滤。访客电子邮箱以每月 Excel 表格导出形式提供给营销部门，且没有同意时间戳。

应对措施。 酒店根据上述清单发布了一份 RFP。要求支持与 Microsoft Entra ID 进行目录同步、为打印机和电视提供 iPSK、按网络制定 DNS 策略，以及在每条记录上附加带时间戳的同意信息。

结果。 三份合同合并为一份。此前离职人员的访问权限最长可维持 90 天（直到下一次密码轮换），现在账户一经禁用便立即终止。每条营销记录都带有同意时间戳，因此数据主体访问请求只需从一个导出文件中获取。

拥有混合硬件的 40 家门店酒店集团

现状。 一家酒店集团有 28 家门店运行 Cisco Meraki，另有 12 家新收购的门店运行 Ruckus。其最初的入围名单假设需要两个平台，每个硬件供应商各一个。

应对措施。 RFP 中指明了这两家硬件供应商，并要求单一平台同时支持两者。它还要求在整个集团范围内提供统一的过滤策略集和单一访客数据库。

结果。 一个仪表板现在涵盖了所有 40 家门店。没有任何接入点被替换。针对大堂的过滤变更现在只需一次修改即可应用于整个集团，而不是针对每个供应商分别进行两次修改。

由市政厅运营的会议和活动中心

现状。 一个公共部门场馆在相同的展厅内举办学校假期活动和商业展览。单一严格的过滤器阻断了参展商进行现场演示所需的网站。

已完成的工作。 该场馆在同一批接入点上运行了两个访客网络。公共区域应用了严格的 DNS 策略，并封禁了 IWF 列表中的网址。展商则在活动日凭据下使用较宽松的策略。该 RFP 还要求符合 Cyber Essentials 认证。

成果。 目前两套策略在同一套接入点设备上运行，无需新增硬件。工作人员直接在仪表盘中即可按活动切换策略，无需重新配置控制器。

酒店 WiFi RFP 中常见的问题有哪些，如何解决？

RFP 被拆分到三个部门

IT 部门撰写员工部分，营销部门撰写访客部分，而没人撰写过滤策略。供应商随后针对三份不同的文件进行应答。解决方法： 指定一位负责人，并将这三个部分统一纳入同一个评分模型中加权。

同意条款与使用条款捆绑在一起

单个“我同意”复选框同时涵盖了 WiFi 接入和营销许可。这种同意很难符合 GDPR 第 7(4) 条的要求。解决方法： 要求设置独立且默认未勾选的勾选项，并在概念验证（PoC）阶段对其进行测试。

共享员工密码在招标后依然存在

某些供应商建议员工使用共享密钥，因为设置速度快。解决方法： 将 802.1X 或 iPSK 列为强制要求，而非仅作为评分偏好。

过滤规则在第一天就被绕过

默认使用 DoH 的浏览器可以完全绕过 DNS 过滤。解决方法： 在评估中包含 DoH 测试，并要求针对强制执行方案提交书面解答。

Captive Portal 在手机上失效

针对桌面端设计的 Portal 往往会在 iOS 和 Android 的 Captive Mini-Browser 中崩溃。解决方法： 在主流手机终端上进行测试，并将登录失败直接判定为不合格。

硬件锁定隐藏在评分标准中

某些应答方案隐蔽地假定您将购买供应商自身的接入点。解决方法： 在 RFP 中明确指定您的硬件，并要求书面确认提供支持。2026年场馆与企业网络最佳实践 涵盖了更广泛的设计选择。

采购方案对比如何？

方案	需要管理的合同数	所需新硬件	典型员工身份源	访客数据归属	适用对象
硬件供应商内置的 Captive Portal	1（按硬件供应商）	更换供应商需完全替换硬件	账号在供应商仪表盘中管理	硬件供应商的云端	使用单一硬件供应商且无营销目标的单体物业
针对 RADIUS、过滤和访客 Portal 的独立专业供应商	3	无	通过脚本或手动同步的 RADIUS 服务器	Portal 供应商（在其自身条款下）	拥有内部工程师来集成和补丁维护各个系统的集团
统一的云端覆盖层（如 Purple）	1	Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet 无需新硬件	Microsoft Entra ID、Okta 或 Google Workspace	您自己（作为第一方数据）	希望在员工和访客之间建立统一审计追踪的多物业集团

成本如何，又能获得什么回报？

需要定价的内容

要求每家供应商分别对以下四项进行报价，以便您进行同类对比。

• 平台许可证。 Purple 提供三种方案：Connect、Capture 和 Engage。安全增值模块包括 SecurePass、Verify 和 Shield。要求供应商将 RFP 中的各项需求映射到指定的方案或增值模块，避免中标后价格发生变动。
• 硬件。 在支持的接入点上，重叠网络无需增加新硬件。任何要求更换硬件的供应商都应提供完整报价。
• 集成。 目录、CRM 和营销平台连接。明确询问由谁构建以及由谁维护每个连接。
• 内部时间成本。 计算团队目前在定期更改密码、注销离职员工以及导出电子表格上所花费的时间。

您将获得的收益

• 更少的合同。 一个平台即可取代独立的员工、访客和过滤供应商，统一续约日期和数据处理协议。
• 更快的权限撤销。 当目录账户注销时，访问权限即刻终止，从而缩短前员工可利用的时间窗口。
• 第一方访客数据。 每一个获得授权的电子邮箱地址，都是您可以直接进行营销的资源，无需再依赖在线旅行社。
• 到访洞察。 各门店的常客率和停留时间有助于您评估投资方向。

自 2012 年以来，Purple 一直致力于为各类场所提供服务。包括 Whitbread、Premier Inn 和 Stonegate Pubs 在内的酒店餐饮集团均在运行 Purple，且 Purple 是一家认证的 B Corp。有关酒店业的更多详细信息，请参阅 酒店。

同样的三领域架构也适用于 零售 园区、医疗保健 场所和 列车。对于交通枢纽，请参阅 机场 WiFi 平台供应商：RFP 中的必备要求。

常见问题解答

酒店 WiFi 软件是如何定价的？

Purple 按方案和增值模块计费，而非按硬件计费。三种方案分别为 Connect、Capture 和 Engage，SecurePass、Verify 和 Shield 则作为安全增值模块。您的报价将取决于所需的方案、增值模块以及门店数量。在任何 RFP 中，请要求每家供应商将各项需求映射到指定的方案或增值模块。这样可以防止在您签约后功能被移至更高的层级，并使竞争报价具有直接可比性。

Purple 能否在我们现有的接入点上运行？

可以，Purple 可以作为云端重叠网络运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 硬件上。您可以保留原有的接入点和控制器，由 Purple 在其上提供身份验证、过滤和访客数据采集功能。混合硬件环境同样适用，因此在部分酒店使用 Cisco Meraki、在其他酒店使用 Ruckus 的集团也可以运行同一个平台。请在 RFP 中列出您的硬件，并要求每家供应商提供书面支持确认。

我们如何从现有的 Captive Portal 供应商迁移访客数据？

仅迁移具有可证明同意记录的数据。向您现有的供应商索取包含同意时间戳和每位宾客同意的具体条款文本的完整导出数据。没有可证明同意日期的记录不应进入新的营销数据库。先在一个门店运行新平台，检查 CRM 字段映射，然后逐个门店推广。在您提出终止服务通知之前，趁现任供应商仍在合同期内，通过书面形式确认数据导出事宜。

通过 WiFi 收集宾客数据是否符合 GDPR？

是的，前提是同意必须是独立、明确且有记录的。GDPR 第 7(4) 条意味着 WiFi 接入不能取决于是否勾选营销选项，因此该选项必须是一个独立的、默认未勾选的选择。Purple 使用自主选择的同意选项，为每个档案存储带有时间戳的同意记录，并拥有 ISO 27001 认证。在英国，PECR 也适用于电子邮件和短信营销。在评估期间，可要求任何供应商展示导出的同意记录。

DNS 过滤对酒店宾客 WiFi 来说足够了吗？

如果能够防止绕过，DNS 过滤可以满足公共区域的主要需求。它可以在不审查加密流量的情况下阻断特定类别和列表（例如 IWF URL 列表）。它的弱点是基于 HTTPS 的 DNS（DoH），这可能会将查询绕过您的解析器。要求供应商提供关于 DoH 和自定义 DNS 处理的书面解答，并在概念验证（PoC）期间进行测试。为大堂、会议厅和员工网络设置独立的策略。

我们应该向硬件供应商购买宾客 WiFi，还是选择独立的平台？

如果您运营着不止一家硬件供应商的产品，或者希望拥有属于自己的宾客数据，请选择独立平台。内置的 Captive Portal 适合使用单一供应商硬件且没有营销需求的单门面物业。与硬件无关的平台能在设备更新换代时保持您的选择灵活性。它还将员工身份验证、过滤和宾客同意记录集中在一个审计追踪中。根据对照表对两者进行对比，对各项需求评分通过或未通过。

酒店 WiFi 部署需要投入多少精力？

大部分精力集中在系统集成和策略决策上，而非硬件本身。在受支持的接入点上无需更换任何硬件，因此主要工作是连接您的目录、CRM 以及过滤策略。在部署开始前，与您的 DPO 确认过滤类别和同意条款文本。在一个门店运行概念验证，完成本指南中的六项测试，然后按计划分批在所有门店推广。