Passpoint 与访客营销：在访客自动连接时保留第一方数据

通过将同意选项从 Splash 页面转移到注册环节，场所可以在 Passpoint 架构下持续获取第一方数据。访客只需在 Captive Portal、网页或应用上进行一次同意授权，即可接收与该个人资料绑定的 Passpoint 凭据。此后每一次自动连接都会通过 RADIUS 对该凭据进行身份验证，因此每次访客到访都会更新已获授权的个人资料，而无需再次弹出登录页面。

什么是 Passpoint 访客营销？

Passpoint 是 Hotspot 2.0 的认证计划，Hotspot 2.0 是基于 IEEE 802.11u 修正案构建的一套功能。它允许手机或笔记本电脑使用预先安装的凭据自动发现并加入网络。访客完全无需面对登录页面。

这由三项标准共同协作实现：

• ANQP (Access Network Query Protocol) 允许设备在关联之前询问无线接入点网络接受哪些身份提供者。
• IEEE 802.1X 是基于端口的访问控制标准，用于对设备进行身份验证。它使用 EAP (Extensible Authentication Protocol) 方法，例如 EAP-TLS 或 EAP-TTLS。
• RADIUS 是无线接入点用来向服务器询问凭据是否有效的协议。RADIUS 服务器接受或拒绝连接，随后数据流量将通过 WPA2-Enterprise 或 WPA3-Enterprise 进行加密。

OpenRoaming 是由无线宽带联盟运行并基于 Passpoint 构建的联盟。身份提供者负责颁发凭据，其中包括设备制造商、移动运营商和应用发布商。场馆则作为接受这些凭据的接入网络提供商。场馆与身份提供者之间通过 RadSec 交换身份验证信息，RadSec 会在 TLS 内部传输 RADIUS (RFC 6614)。

Passpoint 访客营销是指对通过这种方式加入网络的访客运行获得合规授权的营销与分析计划。另一种传统路径是 Captive Portal：即拦截访客首次 Web 请求并要求其登录的 Splash 页面。对于大多数场馆而言，Captive Portal 仍然是获取同意授权、身份信息和第一方数据的主要来源。

为什么自动连接会使您的第一方数据面临风险？

在 Guest WiFi 网络中，Splash 页面同时承担三项工作：识别访客身份、记录其营销偏好选项以及记录到访日志。Purple 在 2024 年处理了覆盖 80,000 多个活跃场馆的 4.4 亿次登录（Purple 数据）。每一次登录都是这三项工作同时完成的时刻。

Passpoint 消除了这一时刻。设备在后台进行身份验证，因此没有可以提出提示问题的页面。这会导致以下三个后果。

连接不等于同意

GDPR第4(11)条将同意定义为自由表达、特定、知情且明确的意愿表示。序言32补充指出，沉默、预先打勾的框或不作为均不构成同意。在法律术语中，设备自动连接属于不作为。您不能从 Passpoint 连接中推定营销同意。

您可能无法看到是谁进行了连接

诸如 EAP-TTLS 之类的 EAP 方法会发送可以匿名的外部标识，例如 "anonymous@realm"。真实身份则通过加密隧道传输到归属 RADIUS 服务器。在 OpenRoaming 中，该服务器属于身份提供者，而不是您。您只能接收到身份提供者选择释放的信息。

MAC地址不再能识别设备

当前的 iOS 和 Android 版本默认在每个网络中使用私有随机 MAC 地址。任何通过 MAC 地址关联访问记录的分析都会低估回头客的数量。如果您发放了 Passpoint 凭据或能看到该凭据，那么它将是一个更可靠的锚点。

收益是切实存在的。Passpoint 使用 WPA2 或 WPA3-Enterprise 对每个会话进行加密，并用 802.1X 取代开放式 SSID。它还消除了回头客面对 Landing 页面的繁琐体验。您的任务是在获取这些收益的同时，保留同意记录和数据。

同意如何随 Passpoint 凭据一同传输？

其原则是将同意时刻转移到注册环节，然后由凭据承载该同意。五种设计选择可以实现这一点。

在注册时单次获取同意

首次访问仍需要一个选择时刻。该时刻可以是 Captive Portal、预订确认信中链接的网页，或是场馆应用内部的一个步骤。在此时，您需要收集明确选择的同意：针对电子邮件、短信和个性化优惠设置单独且未预先打勾的选项。

GDPR第7(1)条要求您证明已获得同意。请记录所展示的措辞、时间戳以及针对个人资料的每个选择。明确告知访客，随后的自动连接将被记录为访问。第13条要求在收集数据时提供该信息。

Purple 的 Captive Portal 已经能够捕获此同意记录，并与 CRM 和营销平台无缝集成。当您在该流程结束时发放 Passpoint 配置文件后，同一份记录即可覆盖未来的每一次访问。

将每个凭据绑定到单一个人资料

为每位访客发放唯一的凭据，绝不使用共享凭据。用于 EAP-TTLS 的用户名和密码可行，用于 EAP-TLS 的证书同样有效。RADIUS 服务器会将每个凭据映射回其已获得同意的个人资料。随后的每一次认证都会成为对应已知记录的访问事件，无需涉及任何 Landing 页面。

唯一的凭据还能让您掌控生命周期。您可以在退房时使凭据过期。当设备丢失或访客退出计划时，您可以撤销该凭据。共享凭据会剥夺这一切，并彻底破坏数据归因。

在无需获取真实身份的情况下识别回头客

在您未获取身份信息的情况下，仍可以统计访问次数。RFC 4372 定义了可计费用户身份（Chargeable-User-Identity）属性，这是归属服务器可以为每位访客返回的稳定且不透明的标识符。它能让您的 WiFi Analytics 在没有姓名或电子邮件地址的情况下统计重复访问次数和停留时间。

请将该标识符视为个人数据。GDPR 鉴于条款 26 确认，如果附加信息能将其归属于特定个人，则假名化数据仍属于个人数据。请在有记录的合法依据下将其用于汇总报告。切勿将其用于营销推送。

使用 Passpoint Release 3 获取条款和场馆 URL

Passpoint Release 3 增加了两项对营销至关重要的功能。网络可以要求访客接受条款和条件。它还可以发送连接后设备显示的场馆 URL。Android 文档确认支持这两项功能。

场馆 URL 对匿名访客非常有用。它为您提供了一种邀请他们选择加入的途径，同时又不会阻断他们的连接。

查看每个 OpenRoaming 身份提供者发放的内容

OpenRoaming 身份提供者通过网络广播的漫游联盟组织标识符（RCOI）传达其策略。该策略包含所提供的身份类型：某些提供者发放匿名身份，另一些则发放经过验证的身份。在策划任何营销活动之前，请先检查您接受的提供者将发放什么内容。在大多数部署中，联合访客在按您的条款选择加入之前，始终保持匿名状态。

Passpoint 如何与您的 Captive Portal 配合使用？

Passpoint 并不能替代您的 Captive Portal。它们是并行存在的。大多数场馆都会为初次访问的访客运行一个 Captive Portal SSID，并为已注册的访客运行一个 Passpoint 网络。

Purple 独立于硬件厂商，支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。因此，这两个网络都可以在您现有的无线接入点上运行。Hotspot 2.0 的支持取决于接入点型号和固件，因此请先与您的供应商确认。为什么您的下一次 WiFi 升级不需要新硬件 解释了云端叠加架构方法。

WPA3 强制要求使用受保护管理帧（PMF）。在 Passpoint SSID 上启用 WPA3-Enterprise 之前，请检查您的设备资产如何处理它们。受保护管理帧：2026年实用指南 涵盖了兼容性检查的相关内容。

三种加入方式对比

	Captive Portal	场馆发放的 Passpoint	OpenRoaming（联合）
访客如何加入	选择 SSID 并完成 Portal 页面	一次性安装配置文件，随后自动连接	使用来自第三方身份提供者的凭据自动连接
在何处获取同意	在 Portal 页面上，针对每台新设备	在注册时，发放配置文件之前	场馆未获取；需单独邀请选择加入
场所每次访问获取的内容	访客在页面上输入的数据	映射至已授权档案的凭据	身份提供者发布的任何内容，通常为匿名
加密方式	开放式，或支持时的 OWE（ Opportunistic Wireless Encryption）	WPA2-Enterprise 或 WPA3-Enterprise	WPA2-Enterprise 或 WPA3-Enterprise
重复访问体验	再次显示 Splash 页面，或识别已记住的设备	无登录页面	无登录页面
标准	HTTP 重定向；用于 Portal 发现的 RFC 8908 和 RFC 8910	IEEE 802.11u, IEEE 802.1X, EAP	IEEE 802.11u, IEEE 802.1X, RadSec (RFC 6614)
最适合的场景	首次访问的访客和第一方数据捕获	常客、会员和共享办公会员	您从未接触过的访客

哪种方案适合您的场所

您的状况	推荐方案
主要是首次访问的访客，例如旅游景点	带有明确选择选择性同意的 Captive Portal
重复访问率高，例如酒店会员或共享办公会员	用于注册的 Captive Portal，然后由场所颁发 Passpoint
极高流量的匿名过客，例如购物中心、车站或 火车	Captive Portal 加上 OpenRoaming，针对匿名访问提供聚合分析
包含已注册参会者的多天活动	注册时颁发 Passpoint 档案，活动结束时过期
医疗卫生 领域的患者和访客网络	具有极少数据捕获的 Captive Portal；Passpoint 仅用于长期停留的访客

来自酒店、零售和活动的实际应用场景

一家拥有 200 间客房的酒店将会员转化为自动连接的客人

状况。 一家拥有 200 间客房的酒店，其常客在每次入住时都会遇到 Splash 页面。每台新手机或笔记本电脑都会创建一条单独的记录。入住历史和同意记录分散在多个不完整的档案中。

做法。 该酒店在首次入住时保留了 Captive Portal。它在选择性同意流程的末尾以及到达前的电子邮件中添加了“将此网络添加到您的设备”步骤。每位客人都会收到一个与其已授权档案绑定的唯一 EAP-TTLS 凭据。凭据在客人最后一次入住 12 个月后过期。访问事件同步至酒店的 CRM。

可衡量的结果。 该酒店现在每月报告三个数据：

• 凭据持有者在已连接客人中的占比。
• 每个已授权档案记录的入住次数。
• 根据 GDPR 第 7(1) 条要求，可应要求调取的同意记录。

对于凭据持有者，再次入住时的 Splash 页面登录降至为零，因为该页面不再出现。查看这如何契合更广泛的 酒店 部署，并使用 酒店 WiFi RFP 清单：身份验证、内容过滤和客人营销 将其写入招标书中。

购物中心在不稀释选择性同意列表的情况下添加 OpenRoaming

现状。 某购物中心希望顾客能够无缝连接。其营销团队担心，随着顾客转向自动连接，订阅列表会缩减。大多数顾客的手机上已经拥有来自设备或应用程序身份提供商的 OpenRoaming 凭据。

应对举措。 该中心在其现有的 Captive Portal 之外同时运行了一个 OpenRoaming SSID。匿名的 OpenRoaming 访问仅纳入汇总报告，在提供商释放该属性的情况下，通过计费用户标识 (Chargeable-User-Identity) 属性进行统计。Passpoint Release 3 场所 URL 将顾客引导至该中心通讯信息的订阅页面。不会向匿名顾客发送任何营销信息。

可衡量的结果。 该中心现在报告两类不同的受众：

• 已同意的顾客，可以接收营销信息。
• 匿名的再次访问设备，仅以汇总形式报告。

订阅列表仅通过自主选择而增长。数据保护官可以在每份报告中清楚看到这种划分。相同的模式适用于多门店 零售 地产领域。

会展中心在注册时发放凭据

现状。 一家举办为期三天活动的会展中心每天早晨都会出现 Splash Page 排队现象。每天第一场活动期间的排队情况最为严重。活动组织者还希望按展厅获取出勤数据。

应对举措。 活动注册页面包含订阅选项，并随每张门票发放一个 Passpoint 配置文件。每个凭据在活动结束时自动失效。参会者在各个展厅连接均无需登录步骤。

可衡量的结果。 已注册的参会者在现场完全无需面对任何 Splash Page。所有凭据在活动结束时自动撤销，无需手动清理。组织者收到了按展厅统计的汇总会话数。营销信息仅发送给在注册时选择订阅的参会者。

您应该了解哪些限制？

注册增加了一个步骤

在 Apple 设备上，访客需要安装配置文件并在“设置”中批准该文件。Android 流程因制造商和 OS 版本而异。完成注册的访客数量会少于完成 Splash Page 的人数。建议在提供价值之后（例如在首次入住结束时或在预订确认信中）提示访客进行注册。

设备支持并非完全普及

较旧的设备和某些笔记本电脑缺乏 Passpoint 支持。请保持 Captive Portal SSID 正常运行，以免任何访客无法上网。请在访客实际携带的设备上测试注册流程。

联盟访客默认不可进行营销

OpenRoaming 凭据并不包含对您场所的营销同意。在英国，《隐私与电子通信法规》(PECR) 第 22 条规定，在向个人发送营销电子邮件或短信之前，必须获得明确同意或软性订阅 (soft opt-in)。仅仅进行 WiFi 连接不符合其中任何一项要求。

撤回同意必须与给予同意一样简单

GDPR第 7(3) 条要求撤回同意必须与给予同意一样简单。请将营销同意和网络接入作为单独的控制项。取消订阅电子邮件的访客可能仍希望使用自动 WiFi。

部分行业需要更轻量的数据捕获

医院网络上的位置数据可能会透露健康信息。这会触发 GDPR第 9 条特殊类别规则。在患者和访客网络上保持最少的数据捕获，绝不通过访问记录推断健康状况。

您的 RADIUS 服务承担重任

每个 Passpoint 连接都依赖于 802.1X 以及持有有效服务器证书的可达 RADIUS 服务器。Cloud RADIUS 从设计中移除了本地服务器。请在上线前规划证书更新。2026年场馆与企业网络最佳实践 涵盖了相关的设计选择。

接下来您应该怎么做？

1. 审计您的接入点。 与供应商确认具体型号和固件是否支持 Hotspot 2.0 和 Passpoint。
2. 审查您的同意文案。 确保告知访客自动连接将被记录为访问。
3. 选择您的模式。 使用上面的决策表来选择场馆签发的 Passpoint、OpenRoaming 或两者兼有。
4. 设计注册流程。 将其放置在 Captive Portal 流程的末尾以及到达前或注册电子邮件中。
5. 设置凭据规则。 使用唯一凭据，定义有效期并明确谁有权撤销凭据。
6. 拆分您的报告。 将获得同意的目标受众和匿名聚合访问记录保留在不同的报告中。
7. 将其写入采购要求。 将 Passpoint、OpenRoaming 和同意记录指定为招标要求。

常见问题解答

我需要新的接入点来运行 Passpoint 吗？

通常不需要。Hotspot 2.0 和 Passpoint 是接入点固件的功能，Cisco Meraki、HPE Aruba、Ruckus 和 Juniper Mist 都提供了相关的配置文档。支持情况取决于型号和固件版本，因此请先与您的供应商核实。Purple 与硬件无关，可以作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。注册和 RADIUS 无需淘汰和替换现有设备。

在 Passpoint 注册时捕获的同意在 GDPR 下有效吗？

是的，前提是注册步骤符合 GDPR 的同意标准。第 4(11) 条要求同意必须是自由给予的、具体的、明确知情的且毫不含糊的，而第 7(1) 条要求您能够对此提供证明。为每个目的使用单独的、未勾选的选项，并存储文案和时间戳。告知访客后续连接将被记录为访问。凭据承载该同意；连接本身永远不会产生同意。

我可以向通过 OpenRoaming 连接的访客进行营销吗？

仅凭连接强度是不够的。OpenRoaming 凭据来自第三方身份提供商，并不包含对您场所的营销授权。您收到的往往只是一个匿名身份。您可以在已记录的合法依据下汇总报告匿名访问。使用 Passpoint Release 3 场所 URL 或 Captive Portal 邀请访客根据您的条款选择加入。

Passpoint 可以与我现有的 Captive Portal 同时运行吗？

可以，而且大多数场所都应该同时运行两者。保留 Captive Portal 供首次访问的访客使用，以此收集身份并获取有意识选择的营销授权。同时在相同的 AP 上广播一个独立的 SSID，为已注册的宾客提供 Passpoint 网络。Captive Portal 将成为您的注册途径，而 Passpoint 则成为老客的再次连接途径。在老客跳过登录页面的同时，您获得授权的数据库也会持续增长。

Passpoint 在 iPhone 和 Android 设备上是否有效？

是的，这两个平台都支持 Passpoint，但注册流程有所不同。Apple 设备通过配置文件安装 Passpoint，宾客需在“设置”中批准。Android 原生支持 Passpoint 配置，并记录了对 Release 3 功能的支持，包括条款接受和场所 URL。流程因制造商和操作系统版本而异。在发布之前，请在您宾客使用的设备上测试注册流程。

当宾客撤回授权时，数据会如何处理？

您需立即停止营销，并单独决定是否保留该凭据。GDPR 第 7(3) 条规定，撤回授权应与给予授权一样简单。退订电子邮件的宾客可能仍希望自动连接 WiFi，因此请将营销授权和网络访问权限作为独立的控制项。如果他们要求彻底退出，请在 RADIUS 中注销该凭据。然后根据您的保留政策删除该档案或进行匿名化处理。

Passpoint 对我的 WiFi 数据分析有何影响？

它使再次访问的统计更加准确。当前 iOS 和 Android 设备上的随机 MAC 地址使得基于设备的统计不可靠，而 Passpoint 凭据在多次访问中保持稳定。使用场所颁发的凭据，每次身份验证都会成为已授权档案上的一次访问。对于联合认证访客，RFC 4372 中定义的 Chargeable-User-Identity 属性可以提供稳定的假名。请在汇总报告中保留这些假名访问数据，并与您的营销受众分开管理。