機場與交通樞紐訪客 WiFi 平台：Passpoint 漫遊與多語言入口網站之比較

大多數機場都應同時執行這兩種模式。Passpoint（包括 OpenRoaming 和航空公司忠誠度設定檔）可透過加密連線自動連線再次到訪的旅客。多語言強制入口則服務其他所有人，並擷取獲得同意的第三方資料。決定以哪一方為主的因素有三個：您的旅客結構、您的資料目標，以及您的存取點是否支援 Hotspot 2.0。

您應該選擇哪種機場訪客 WiFi 平台模型？

選擇混合式架構，然後決定以哪一方為主。以 Passpoint 為主的設計將自動化加密連線放在首位。以入口網站為主的設計則將獲得同意的第三方資料和多語言訊息放在首位。兩者都在相同的存取點上執行，因此這是營運層面的決定，而非硬體層面的決定。

進行任何機場訪客 WiFi 平台比較時，會用到三個術語：

• Passpoint 是基於 IEEE 802.11u 的產業認證，也稱為 Hotspot 2.0。儲存有憑證的裝置會找到 Passpoint 網路，並在沒有登入畫面的情況下直接加入。
• OpenRoaming 是由無線寬頻聯盟 (WBA) 營運的聯盟。它使用 Passpoint，因此來自手機製造商、電信業者或應用程式的單一憑證即可在每個參與活動的場域中使用。
• 強制入口是旅客在連接開放式網路前於網頁上看到的頁面。

Passpoint 會使用 IEEE 802.1X 進行驗證，這是企業 WiFi 背後基於連接埠的存取控制標準。憑證會透過 EAP（可擴充驗證協定）傳輸至 RADIUS 伺服器。RADIUS 是用於檢查憑證並回傳工作階段規則（例如時間和頻寬限制）的協定。

Purple 可在來自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 的存取點上，將 訪客 WiFi 作為雲端重疊服務提供。同一個平台支援 OpenRoaming 和多語言強制入口。它在全球 90 多個國家/地區的 80,000 多個實體場域中運行，每年處理 5 億名使用者和登入次數。運輸業客戶包括 AGS Airports 和曼徹斯特機場集團 (Manchester Airports Group)。

Passpoint 漫遊與多語言入口網站真正的差異在哪裡？

這兩種模型在航廈中極為重要的幾個面向有所不同：摩擦力、加密、資料、介面義務和硬體。下表將它們並列比較，同時包含了大多數航廈最終所採用的混合式架構。

面向	Passpoint 與 OpenRoaming	多語言強制入口	混合式（兩者兼具）
旅客如何連線	在一次性安裝設定檔後，自動連線，無需畫面	加入開放式 SSID 並完成登入頁面	設定檔持有者自動加入；其他所有人使用入口網站
空中加密	透過 802.1X 提供 WPA2-Enterprise 或 WPA3-Enterprise	開放式 SSID 無加密；使用強化開放式 (OWE) 則按工作階段加密	Passpoint SSID 採用企業級加密；入口網站 SSID 採用 OWE
傳回的第一方資料	僅限身分提供者領域，無行銷同意	電子郵件、語言偏好設定、明確選擇同意	來自入口網站旅客的同意資料；兩者的會話資料
語言處理	無需處理，不顯示介面	Accept-Language 偵測加上手動切換器	入口網站處理語言；Passpoint 不需要
無障礙暴露	無介面可供稽核	完整的 WCAG 2.2 AA 稽核與聲明	僅入口網站稽核
核心標準	IEEE 802.11u, Passpoint, 802.1X, EAP, RadSec (RFC 6614)	RFC 8910, RFC 8908, WCAG 2.2, GDPR, PECR	以上皆是
存取點需求	AP 與控制器韌體支援 Hotspot 2.0	外部強制入口重導向	單一架構中同時具備兩種功能
分析識別碼品質	會話期間保持穩定，綁定至驗證憑證	會話期間保持穩定；造訪之間隨機化 MAC	連線裝置的最廣涵蓋範圍
適用對象	擁有眾多使用配備應用程式航空公司頻繁飛行旅客的樞紐	休閒、包機與首次出國的國際客流	大多數機場與主要鐵路轉乘站

三個差異決定了大多數決策。

資料。 Passpoint 會告訴您是哪個身分提供者驗證了裝置，例如航空公司領域或 OpenRoaming 提供者。它不會傳回電子郵件地址，也不會傳回行銷同意。如果您的商務團隊需要獲得同意的第一方資料來進行特許經營活動，則只有入口網站能夠提供。

加密。 Passpoint 在 WPA2-Enterprise 或 WPA3-Enterprise 上執行，因此它從第一訊框開始就加密每個會話。開放式入口網站 SSID 不包含空中加密，除非您啟用增強型開放 (Enhanced Open)，也稱為機會無線加密 (OWE, RFC 8110)。請使用 OWE 過渡模式，以便較舊的裝置仍可連線。

義務。 Passpoint 連線不會顯示任何畫面，因此您無需進行翻譯或稽核。入口網站是面向公眾的網頁，必須完整承擔這兩項責任。

機場如何結合 OpenRoaming、航空公司 Passpoint 設定檔與備用入口網站？

雙 SSID 模式

常見的航廈設計會廣播兩個旅客網路。第一個是以 WPA2-Enterprise 或 WPA3-Enterprise 保護的 Passpoint SSID。第二個是重導向至強制入口的開放式或增強型開放 SSID。擁有符合設定檔的裝置會自動加入第一個網路，而其他所有裝置則會看到第二個網路。

Passpoint SSID 會同時宣播多個識別碼。漫遊聯盟組織識別碼 (RCOI) 命名了一個聯邦，例如 OpenRoaming。網路存取識別碼 (NAI) 領域命名了一個單一身分提供者，例如航空公司的網域。裝置在關聯之前會透過存取網路查詢協定 (ANQP) 查詢這些識別碼。只有在擁有符合憑證的情況下它才會加入。

領域路由的運作方式

當裝置進行身分驗證時，RADIUS 層會讀取其外部身分中的 realm 並路由要求。OpenRoaming 要求會透過 RadSec（即基於 TLS 的 RADIUS，RFC 6614）傳送至聯盟的身分提供者。根據雙邊協議，航空公司 realm 會路由至航空公司自己的驗證伺服器。您永遠不會看到乘客的密碼或憑證。您只會收到接受或拒絕的回覆，以及工作階段規則。

這就是航空公司忠誠度設定檔在實務上的運作方式。航空公司的應用程式會透過 Apple 的 NEHotspotConfiguration 或 Android 的 PasspointConfiguration 介面安裝 Passpoint 設定檔。該設定檔包含航空公司的 realm 與憑證（通常是用於 EAP-TLS 的憑證）。EAP-TLS 是雙向憑證驗證，也是目前廣泛部署的最強 EAP 方法。在任何廣播該 realm 的機場，手機都能直接連線而無需提示。

將首次造訪的乘客轉變為 Passpoint 乘客

入口網站也是引導加入的管道。乘客完成入口網站登入後，提供選填的設定檔下載，以便下次造訪時能自動連線。請用通俗易懂的語言說明此優惠內容。對於遇到困難的乘客，可引導服務台員工參考通用解說指南，例如 如何連上 WiFi：家庭、飯店與工作網路。

支援 RFC 8910 的裝置會從 DHCP 或路由器公告學習入口網站位址。接著，它們會查詢 RFC 8908 中定義的強制入口 API。這能以標準訊號取代脆弱的重導向技巧，因此請在您的存取點允許的情況下進行實作。

防止員工使用乘客網路

航空公司、零售與機場員工絕不應共用乘客 SSID。Purple 員工 WiFi 會根據 Microsoft Entra ID、Okta 或 Google Workspace 驗證員工身分。它會將員工置於獨立的 VLAN（用於隔離流量的虛擬區域網路）中。承包商與造訪的機組人員會攜帶非託管裝置，相關內容請參閱 BYOD WiFi 註冊引導：管理飯店與零售業中的非託管裝置。

何時適合採用以 Passpoint 與 OpenRoaming 為導向的設計？

當自動連線對您而言比收集電子郵件地址更有價值時，請優先採用 Passpoint。以下四種情況適用此設計：

• 常客占比高。 您的乘客中有很大一部分搭乘一到兩家樞紐航空公司，這些航空公司的應用程式可以安裝設定檔。
• 轉機時間短。 轉機乘客與鐵路轉乘留在填寫表單的時間很少。相同的邏輯也適用於車站與車載網路，詳情請參閱我們的 火車 頁面。
• 安全性要求。 您的 IT 團隊要求每個乘客工作階段都必須透過空中傳輸加密，且不得有開放的 SSID 流量。
• 尖峰時段的入口網站摩擦。 服務台在早班機出發尖峰時段會收到大量登入抱怨。

機場飯店進一步擴大了這項效益。如果飯店宣傳相同的 OpenRoaming RCOI，住客從登機門到客房都能保持連線，無需進行二次登入。我們的 飯店 頁面與 飯店住客 WiFi 平台：PMS 整合、Passpoint 與分級頻寬比較 指南涵蓋了這方面的內容。

關注設定檔的採用率。OpenRoaming 的覆蓋範圍取決於乘客手機上有哪些身份提供者發行憑證。每月衡量透過 Passpoint 連線的會話比例。切勿基於假設就停用入口網站。

何時以多語言強制入口為主導的設計才是正確的選擇？

當覆蓋率與第一方資料比零觸控連線更重要時，請以強制入口為主導。以下四種情況適用此做法：

• 休閒與包機客流。 許多初次造訪與國際乘客並未具備相符的設定檔。
• 商業目標。 特許經營、停車場與免稅店團隊希望透過自願選擇同意來收集獲得授權的聯絡人資料。
• 營運訊息傳遞。 您希望在連線當下，以乘客的語言顯示登機門資訊、尋路引導或服務預訂。
• 硬體限制。 您的無線存取點（AP）缺乏 Hotspot 2.0 支援。強制入口現在即可運作，而 Passpoint 可以在硬體更新時跟進。

請為航廈設計強制入口，而非咖啡館。將登入步驟保持為一步，並提供免費存取，無需強制要求行銷同意。GDPR 第 7(4) 條將與服務綁定的同意視為不太可能屬於自由給予的同意。強制入口通常會在受限的微型瀏覽器中開啟，因此請保持頁面輕量，並避免使用第三方指令碼與彈出式視窗。

哪些會話超時、語言偵測與無障礙標準適用於航廈乘客 WiFi？

沒有單一標準規定機場 WiFi 會話長度。規範設計的三個規則體系為：用於會話控制的 RADIUS 屬性、用於語言的網頁標準，以及用於強制入口的無障礙法律。

會話超時

RFC 2865 定義了 RADIUS Session-Timeout 與 Idle-Timeout 屬性。Session-Timeout 限制總會話長度。Idle-Timeout 則會在一段不活動時間後結束會話。請根據測得的停留時間來設定兩者，而非習慣。若管制區停留時間為 90 分鐘，而會話長度為 30 分鐘，每位乘客就需要登入三次。

在 Passpoint SSID 上，重新驗證是無感的，因此較短的會話不會增加任何摩擦。可用它來重新整理策略與頻寬限制。在強制入口 SSID 上，可在指定時間內辨識返回的裝置。安檢後重新連線的乘客不應重複填寫表單。在乘客連線之前，請於強制入口上明確說明任何時間或資料限制。

語言偵測

每台瀏覽器都會傳送包含裝置偏好語言清單的 Accept-Language 標頭（如 RFC 9110 所定義）。請善用此標頭來自動選擇入口網站的語言。切勿根據 IP 位址或 SIM 卡國家/地區推測語言：使用英國 SIM 卡漫遊的西班牙語使用者，仍會希望使用西班牙文。請務必提供明顯的語言切換器，並以各種語言自身的文字標示其名稱。

W3C 國際化指引建議不要在切換器中使用國旗，因為國旗代表的是國家而非語言。請依據 WCAG 成功準則 3.1.1 的要求，在 HTML 中宣告頁面語言。支援阿拉伯文與希伯來文的由右至左（RTL）版面配置。請根據您的航線網路與旅客資料選擇語言，而非使用泛用清單。

無障礙功能

評比標準為 W3C 於 2023 年 10 月發布的 WCAG 2.2 AA 級。2.2 版新增的兩項準則對入口網站影響甚鉅。成功準則 3.3.8「可存取的身份驗證（最低限度）」禁止在沒有替代方案的情況下使用圖形驗證碼等認知測試。成功準則 2.5.8「目標尺寸（最低限度）」針對點擊目標設定了至少 24 乘 24 CSS 像素的下限。依據準則 1.4.3，內文文字需要至少 4.5:1 的對比度。

在英國，2018 年《公共部門機構（網站與行動應用程式）（第 2 號）無障礙功能法規》適用於公共部門機構。公營營運商必須符合相關規定並發布無障礙功能聲明。在歐盟，《歐洲無障礙法案》（指令 (EU) 2019/882）自 2025 年 6 月 28 日起適用。該法案涵蓋航空、客運公車、鐵路與水上客運的網站與行動服務。請諮詢您的法律顧問，了解您的入口網站是否屬於適用範圍，無論如何，請務必按照 WCAG 2.2 AA 進行設計。

區域級 WiFi 遙測技術如何支援航廈排隊與零售停留時間儀表板？

從基地台到區域

每台基地台都能看到有哪些裝置與其關聯，許多基地台也能看到附近正在探測的裝置。將基地台分組為符合營運區域的區域：管制區外報到區、安檢入口、管制區內廣場、各候機廊與各登機門群組。業者介面（例如 Cisco Meraki Scanning API）會公開駐留資料。WiFi Analytics 可將這些資料轉換為區域計數、停留時間以及區域之間的移動趨勢。

排隊時間替代指標

計算裝置在安檢前區域的最後一次出現，與在管制區內的第一次出現之間的的時間間隔。該時間間隔可作為端到端安檢處理時間的近似值。將時間間隔聚合為滾動中位數，儀表板即可近乎即時地顯示排隊趨勢。請將其視為趨勢指標，而非通道級的精準測量。頭頂感測器可以更精準地測量單一通道。WiFi 無需安裝新感測器即可增加全航廈範圍的上下文資訊，因為基地台早已存在。

零售停留時間

候機室停留時間是指旅客可供消費的可用時間。區域電磁遙測技術會顯示裝置在廣場停留的時間，與直接前往登機廊客運廊的時間比較。將該資料與每小時的專櫃銷售額相結合，即可比較消費額與可用停留時間的關係。Purple 在 零售業 中也採用相同的方法，只是將區域對應至部門而非個案單位。

資料品質與隱私

自 iOS 14 與 Android 10 起，裝置預設會提供隨機化的 MAC 位址，且各網路均不相同。因此僅計算探測次數會導致部分裝置重複計算，同時遺漏其他裝置。已連線的會話，尤其是 Passpoint 會話，可在造訪期間提供更穩定的識別碼。

GDPR 第 35 條規定，針對公眾可進入區域進行大規模系統性監控時，必須完成資料保護影響評估 (DPIA)。請在上線前完成此評估。將儀表板的資料彙整至區域層級，並針對裝置層級的紀錄設定較短的保留期限。請在入口網站與航廈標示上明列蒐集目的。

實作情境：區域機場與候機室專櫃資產

這些範例採用說明性數據。在建立商業案例之前，請將其替換為您自己的基準資料。

情境 1：地方政府擁有的區域機場

情況。 一座由地方政府擁有的區域機場每天處理 8,000 名出境旅客。假設有 60% 的旅客進行連線，即每天 4,800 台裝置。該機場原本運作一個開放式 SSID，僅提供英文入口網站並設定 30 分鐘的會話逾時。候機室停留時間的中位數為 90 分鐘。作為公共部門機構，該機場必須發布無障礙聲明。

團隊的做法。 團隊新增了一個 Passpoint SSID 來宣傳 OpenRoaming 以及其最大駐點航空公司領域。團隊根據航線網路選擇了六種語言重新建置入口網站，具備 Accept-Language 偵測功能與手動切換器。外部稽核員根據 WCAG 2.2 AA 標準對入口網站進行了測試。團隊設定了三小時的 Session-Timeout，並在當天剩餘時間內識別再次連線的裝置。

結果。 假設有 25% 的連線裝置在一年內轉移至 Passpoint。入口網站登入次數從每天 4,800 次下降至 3,600 次，且有 1,200 台裝置完全無需透過螢幕即可連線。較長的會話時間為每位旅客減少了兩次強制重新登入，這意味著每天減少 9,600 次登入畫面。機場也發布了由獨立稽核支援的無障礙聲明。

情境 2：候機室專櫃營運商

情況。 一家專櫃營運商在候機室廣場和兩個登機廊客運廊營運 14 個單元。營運商可以看到每小時的銷售額，但無法得知旅客登機前還有多少時間。

營運商的做法。 營運商將基地台繪製對應至四個區域：安檢出口、廣場、A 登機廊客運廊與 B 登機廊客運廊。營運商將來自 WiFi Analytics 的每小時區域停留時間與每小時收銀機資料結合。營運商定義了一項指標：每個區域每小時每 100 台連線裝置的交易量。 **結果。**在上午高峰期，1,200 台裝置在一小時內完成安全驗證，廣場中位數停留時間為 42 分鐘。在下午高峰期，900 台裝置完成驗證，中位數停留時間為 18 分鐘。營運商在下午高峰期將兩名員工從餐桌服務調配至即拿即走單位。若每 100 台裝置的晚間交易量從 9 筆增加到 12 筆，則在相同流量下增長了 33%。同一個儀表板即可進行衡量。

各種模式的運作成本為何？

如 為什麼您的下一次 WiFi 升級不需要新硬體 中所述，在受支援的硬體上，兩種模式都不需要新的 AP。運作成本來自其他方面。

成本項目	Passpoint 與 OpenRoaming	多語言強制入口	一次性或經常性
AP	依據機型與韌體確認 Hotspot 2.0 支援	在現有 AP 上重新導向至外部入口	一次性相容性檢查
身分驗證	具備 RadSec 的雲端 RADIUS，連接至聯盟與航空公司領域	用於工作階段控制的雲端 RADIUS	經常性平台訂閱
憑證	WBA PKI 架構下的 OpenRoaming 憑證	入口網域的 TLS 憑證	每次到期時的經常性支出
合作夥伴協議	與各航空公司或身分提供者的條款	無	經常性法律審查
翻譯	無，無介面	每種語言、每次內容變更	每次變更時的經常性支出
無障礙功能	無介面需稽核	WCAG 2.2 AA 稽核與已發布聲明	一次性稽核，變更後重新測試
資料保護	涵蓋分析的 DPIA	DPIA、同意紀錄、保留時間表	每年經常性審查
客服中心負擔	設定檔安裝查詢	高峰期的登入與語言查詢	持續消耗的人力時間

入口網站包含較多的經常性內容工作，主要是翻譯以及每次變更後的無障礙功能重新測試。Passpoint 則包含較多的合作夥伴與憑證管理工作。混合模式同時包含兩者，但各方面承擔的負擔都比單獨運作時要少。

如何為您的交通樞紐資產做出決定

將您的狀況比對至主要模式，然後遵循以下步驟。

您的狀況	優先採用	原因
大多數旅客搭乘一至兩家擁有忠誠度 App 的樞紐航空公司	Passpoint，航空公司領域優先	App 已具備身分資訊，因此連線為自動進行
大多數為休閒與首次造訪的國際旅客	多語言入口網站，OpenRoaming 為輔	很少人持有設定檔；入口網站能以其語言觸及所有人
商業團隊需要取得獲得同意的行銷聯絡人	入口網站	Passpoint 不會回傳同意紀錄
您是受 2018 年法規管轄的公營部門機構	通過 WCAG 2.2 AA 稽核的入口網站，加上 Passpoint	法律責任在於入口網站；Passpoint 可減輕其負擔
停留時間短的鐵路轉乘站	搭配單一步驟入口網站的 OpenRoaming	停留時間太短，不適合填寫冗長表單
AP 缺乏 Hotspot 2.0 支援	目前使用入口網站，裝置更新時採用 Passpoint	避免過早的硬體支出

1. 測量基準值。 記錄每日連線數、各分區停留時間以及服務台登入查詢需求。
2. 審核硬體。 確認所有無線基地台型號和控制器韌體版本皆支援 Hotspot 2.0。
3. 選擇身分提供者。 決定要接受哪些聯盟和航空公司領域，並儘早展開合作夥伴協定。
4. 根據資料設定逾時時間。 將 Session-Timeout（工作階段逾時）與 Idle-Timeout（閒置逾時）調整為與測得的停留時間一致。
5. 同步執行合規事宜。 在進行網路設定時一併委託合規審查與資料保護影響評估（DPIA），而非在設定完成後才進行。
6. 每季定期審查。 密切關注工作階段中 Passpoint 所佔的比重，並隨著其成長重新平衡強制入口的投資金額。

Purple 擁有 ISO 27001、Cyber Essentials 和 B Corp 驗證，符合 GDPR 與 CCPA 規範，運作可用性高達 99.999%。

常見問題

Purple 能否與我們航廈內已安裝的無線基地台搭配運作？

可以，Purple 能以雲端重疊（cloud overlay）方式運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 及 Fortinet 等無線基地台上。您可繼續保留現有的硬體。針對 Passpoint 和 OpenRoaming，請向您的廠商確認您的無線基地台型號與控制器韌體支援 Hotspot 2.0。強制入口則需要在這些平台上支援外部重新導向。

我們是否必須加入無線寬頻聯盟（Wireless Broadband Alliance）才能提供 OpenRoaming？

不需要，場所可以透過平台提供者加入 OpenRoaming，無須直接加入。該提供者擁有聯盟協定，以及在 WBA 公開金鑰基礎建設下發行的憑證。它還會透過 RadSec 來傳送驗證路由。您仍然可以決定要接受哪些身分提供者，以及要提供哪些 OpenRoaming 層級。請在推出前與您的法務團隊一起審閱 WBA 的 OpenRoaming 政策。

手機中沒有 Passpoint 設定檔的旅客會發生什麼事？

他們會連線至開放式或增強型開放式（Enhanced Open）網路，並看到強制入口（若您有提供翻譯，則會顯示為其裝置語言）。強制入口可在首次登入後提供選擇性的設定檔下載，以便下次造訪時會自動連線。請保持提供免發送行銷同意即可使用的免費連線服務，因為 GDPR 要求同意必須是自由給予的。

分區層級的旅客 WiFi 分析是否符合 GDPR 規範？

是的，只要您從一開始就將其設計為符合規範。請執行資料保護影響評估，因為 GDPR 第 35 條點出了對公眾可存取區域進行大規模系統化監控的情況。請將儀表板聚合為分區計數與停留時間中位數，並對裝置層級的記錄設定較短的保留期。請在強制入口與航廈標示上發布清晰的聲明。Purple 擁有 ISO 27001 驗證並符合 GDPR 規範。

我們是否應該放棄強制入口，僅運作 Passpoint 網路？

不，在機場不行。Passpoint 專用網路會排除每位沒有相容設定檔的旅客，無論他們搭乘哪家航空公司或來自哪個國家。這也會移除您在連線時獲取經同意的第一方資料以及語言專屬訊息的唯一途徑。請將 Passpoint 作為快速通道，並保留入口網站作為通用備用方案。隨著設定檔採用率的成長，每年複查兩者之間的平衡。

Purple 如何針對交通樞紐進行授權？

Purple 透過三種方案進行授權：Connect、Capture 與 Engage。合適的方案取決於您是僅需要連線功能、經同意的第一方資料擷取，還是在旅客連線後與其互動。由於 Purple 獨立於硬體之外，您無需在支援的 Cisco Meraki、HPE Aruba、Ruckus 或 Juniper Mist 設備基礎架構上購買新的無線基地台。請向 Purple 索取針對您航廈範圍的報價。

航廈部署的工作量有多大？

比硬體專案少，因為您不需要替換任何設備。工作主要分為四個部分。您需確認 Hotspot 2.0 支援並設定 Passpoint SSID，且與航空公司合作夥伴確認網域 (realm)。您還需要建置並審核多語言入口網站，然後將無線基地台對應至區域以進行分析。合作夥伴合約與無障礙功能審核通常會決定時程，而不是網路設定。