TL;DR / 重點摘要
- 強制入口是公共 WiFi 上的登入頁面：一個負責驗證使用者、記錄同意並通知網路放行裝置的網頁應用程式。
- 驗證方式涵蓋點擊同意、電子郵件、社群登入、簡訊、代碼券、擔保存取、SAML/SSO 與 iPSK。多數場域會同時提供兩到三種。
- 強制入口透過標準 RADIUS 支援各大基地台廠商（Cisco Meraki、Aruba、Ubiquiti、Ruckus、Juniper Mist），無需更換硬體。
- Passpoint 與 OpenRoaming 並不會取代強制入口，兩者可在同一個 SSID 上並存：Passpoint 讓回訪使用者無感上線，強制入口則負責品牌化的首次接觸與數據蒐集。
強制入口就是連上公共 WiFi 時跳出的登入頁面。您可能已經用過上百次：在飯店大廳、火車上、機場或咖啡廳，網路都會先顯示一個頁面，才讓您連上網際網路。
本指南說明強制入口是什麼、實際如何運作、支援哪些驗證方式、如何打造品牌形象、如何確保安全，以及如何在強制入口與較新的 Passpoint、OpenRoaming 方案之間做選擇。後者正悄悄地在一個又一個場域取代強制入口。
我們在各大硬體廠商的設備上，為 80,000 個場域運行強制入口基礎架構，去年登入次數達 5 億次。本指南即彙整了這些經驗。
什麼是強制入口？
強制入口是一個網頁，會在允許存取外部網際網路之前攔截 WiFi 流量。當您加入未加密的網路時，裝置會嘗試載入一個頁面（任何頁面皆可），結果被重新導向至入口頁面。您登入、接受條款或付費後，網路便會放行，讓您連上網際網路。
這是從使用者角度的定義。技術上，強制入口位於三個元件之間：
- 裝置所連線的無線基地台
- 只放行 DNS 與少數預先驗證 URL 的圍牆花園（walled garden）
- 入口本身，由場域或強制入口軟體廠商代管
入口負責驗證使用者、視需要記錄同意與聯絡資料，並通知網路的 RADIUS 伺服器或存取控制器放行裝置。
沒有強制入口，開放式 WiFi 網路就只是完全開放：任何人都能連線，沒有任何紀錄，也沒有適用的條款，場域完全不知道是誰使用了網路。
強制入口如何運作？
整個流程分為六個步驟，各廠商大致相同。視驗證方式而定，從頭到尾約需一到十秒。
- 1
裝置連上 SSID
通常是由場域基地台廣播的開放式網路或預共用金鑰網路。
- 2
隔離 VLAN
流量受防火牆限制，只能存取 DNS 與圍牆花園內的 URL。
- 3
強制入口偵測
iOS、Android、Windows 與 macOS 會探測一個已知 URL。若回應不符預期，作業系統便會自動開啟入口頁面。
- 4
驗證
使用者透過電子郵件、社群登入、簡訊、代碼券、SSO 或點擊同意登入。入口會記錄此工作階段。
- 5
RADIUS CoA
入口透過 RADIUS 授權變更（Change of Authorisation）、API 或計費訊息，通知存取控制器「此裝置已通過驗證」。
- 6
正式 VLAN
解除隔離，開放網際網路存取。工作階段會連同時間戳記、MAC 位址、身分與政策一併記錄。
強制入口驗證的類型
強制入口支援多種驗證方式。多數企業級場域會同時提供兩到三種讓使用者選擇，或由網路依使用者類型或政策決定採用哪一種。
點擊同意
使用者接受條款並點選「連線」，不蒐集任何身分資訊。適用於速度比數據更重要的低門檻環境，例如免費的零售 WiFi 與人潮流動的公共空間。
電子郵件與表單蒐集
使用者提供電子郵件，有時也包含姓名或電話。入口會驗證電子郵件：若未經驗證，輸入強制入口的電子郵件地址有 17% 無效。這是飯店旅宿、零售及任何有行銷計畫的場域最常用的方式。
了解 Verify →社群登入
透過 Facebook、Google、Apple 或 LinkedIn 登入。入口會從社群平台取得已驗證的身分屬性。速度比電子郵件表單快，但在同意與資料最小化方面需更謹慎處理。
簡訊一次性密碼
使用者輸入手機號碼、收到驗證碼後再輸入。可取得已驗證的電話號碼，但流程較慢。常見於電子郵件並非主要識別方式的市場。
代碼券
使用者輸入印製或以電子郵件寄送的代碼，通常有時間或流量限制。用於付費 WiFi、會議 WiFi，以及飯店在入住時印給房客的代碼。
了解付費 WiFi →擔保存取
由員工或接待人員核准訪客上網。常見於企業訪客流程、醫療機構的顧問來訪，以及工廠的供應商存取。
單一登入（SAML）
強制入口將使用者重新導向至其身分識別提供者（Microsoft Entra ID、Okta、Google Workspace），並透過 SAML 登入。常用於教育與企業環境。
了解員工 WiFi →iPSK（身分預共用金鑰）
每台裝置都會透過入口取得專屬的預共用金鑰，之後以 WPA2/3-Personal 持續驗證，不需每次重新登入。這是多租戶 WiFi 的基礎。
了解多租戶 WiFi →強制入口與歡迎頁面是同一回事嗎？
這兩個詞在日常對話中經常混用，但技術上並不相同。
視覺層，也就是使用者看到的頁面，包含品牌元素、文案、條款與註冊欄位。
完整的系統：歡迎頁面加上驗證後端、網路整合、工作階段管理、分析與數據蒐集流程。
每個強制入口都有歡迎頁面，但並非每個歡迎頁面都是強制入口。當您在採購討論中看到強制入口軟體時，代表廠商同時提供頁面與後端。
強制入口可以用來做什麼？
強制入口是必經的關卡，每台連線的裝置都會經過它。因此它的用途遠不只是登入。
數據蒐集
行銷訂閱同意、電子郵件驗證、豐富客戶檔案。Purple 網路的平均訂閱同意率，比網站彈出視窗或付費社群廣告等數位管道高出約 50%。
法規遵循
記錄條款接受、年齡驗證（適用於博弈與持照營業場所）以及分析用途的同意。這是取得有據可查之同意最乾淨俐落的地方。
品牌形象
這是與場域顧客的第一次接觸。飯店、機場與大型零售商都把強制入口當作品牌展示面，而不只是網路的入口。
個人化
使用者在之後造訪被辨識出來時，入口可以提供不同的體驗。會員看到的頁面會與首次造訪者不同。
網路政策
不同使用者可被分配到不同的 VLAN，享有不同的頻寬、內容過濾與存取權限，全都透過同一個強制入口完成。
分析
人流、停留時間、回訪次數與人口統計區隔。這是串接實體場域分析與數位行銷系統的關鍵。
從登入到洞察
每個強制入口工作階段都會直接匯入人口統計、行為與網路分析。Purple 的儀表板將人流、停留時間、回訪次數與 CRM 資料擴充，轉化為行銷團隊規劃時的依據。Pizza Express、AGS Airports 與 University of Sheffield 都在 Purple 上運行強制入口。
營收應用同樣內建其中：付費 WiFi 直接在強制入口流程中創造營收，不需另外建置計費基礎架構。
兩年內將 370 萬名顧客納入 CRM
Pizza Express 運用品牌化強制入口，將每一次訪客 WiFi 連線轉化為經過驗證的行銷訂閱同意。入口成為會員計畫、促銷活動與再互動的第一個接觸點。
強制入口安全嗎？
這取決於您所說的「安全」是指什麼。
強制入口本身是透過 HTTPS 提供的網頁應用程式，其安全由入口廠商負責。Purple 已通過 ISO 27001 與 Cyber Essentials 認證，並定期進行第三方滲透測試。
強制入口底層的網路則是另一回事。如果 WiFi 是開放式（未加密），裝置與基地台之間的流量就沒有加密，強制入口並不會改變這一點。
有三種方式可以解決這個問題：
在 SSID 上啟用 WPA2 / WPA3
強制入口仍會觸發驗證，但無線連線已經加密。請參閱 WPA-Enterprise。
OpenRoaming 或 Passpoint
以加密憑證進行標準化驗證，並自動加密無線連線。
全面使用 HTTPS
現代網站預設採用 HTTPS，因此即使在開放式 WiFi 上，使用者傳送與接收的內容也是端對端加密。
對於安全要求較高的場域（醫療、金融、政府），強制入口會與 WPA2/3-Enterprise 驗證並行，或部署在其後方。員工 WiFi 頁面說明企業端的做法，強制入口則負責訪客端。
法規遵循與數據蒐集
任何蒐集個人資料的強制入口都受資料保護法規約束，在此地區即為 UK GDPR。在登入時蒐集姓名與電子郵件是一回事；之後寄送行銷訊息則會觸及 PECR 與 UK GDPR。
Purple 標準提供符合 GDPR、CCPA 與 PIPEDA 的同意流程，場域可依地區設定同意聲明。資料存放地點可在開通時選擇：歐盟、英國或美國。
有兩個實務重點經常讓場域出錯：
- 預先勾選的方框不算同意。行銷訂閱同意必須是使用者主動做出的行為。
- 正當利益的適用範圍很窄。以正當利益為依據在登入時蒐集姓名與電子郵件沒有問題，但之後寄送行銷電子郵件則不行，必須取得明確的訂閱同意。
完整說明請見資料隱私頁面。
品牌化強制入口
強制入口是品牌展示的平台，但多數場域都沒有充分運用。
- 在行動網路切換時，兩秒內完成載入
- 呈現場域的標誌、品牌色彩與主要品牌素材
- 最多只要求一到兩項資訊
- 除了連線之外，設有一個主要行動呼籲：加入會員、下載 App 或當期促銷
- 外觀像場域自己的網站，而不是網路廠商的範本
- 依裝置語言設定自動偵測使用者語言
- 無障礙設計符合英國《2010 年平等法》與 WCAG 2.2
Purple 的入口可依場域與 SSID 分別設定，為行銷團隊提供拖放式編輯器，也為設計團隊提供完整的 HTML/CSS 控制。同一個入口可依時段、裝置類型、新舊使用者或位置提供不同內容。了解我們的強制入口產品 →
強制入口的硬體相容性
強制入口是軟體。它在雲端運行（少數舊有部署則在本地端），並透過標準協定與場域的基地台硬體整合：RADIUS、圍牆花園設定，有些情況下也會使用廠商 API。
Purple 強制入口支援：
只要您的基地台支援 IEEE 802.11 RADIUS 驗證與圍牆花園設定，強制入口就能運作。您不需要更換硬體，只要重新設定 SSID 指向 Purple 即可。
以 Cisco Meraki 為例，整合是透過 EXCAP API；Aruba 則透過標準 RADIUS 交換或 ClearPass；Ubiquiti UniFi 則透過控制器的外部入口重新導向。Purple 各廠商專屬指南中提供逐步部署說明。
強制入口與 Passpoint、OpenRoaming 的比較
強制入口不會消失，但已不再是唯一的解答。
Passpoint（有時稱為 Hotspot 2.0）是 Wi-Fi Alliance 制定的標準，讓裝置使用儲存在裝置上的憑證自動加入網路，無需經過入口。裝置第一次連線時會佈建一組憑證，之後就會像手機連上 4G 網路一樣加入網路：無感、安全，並採用 WPA2-Enterprise 加密。
OpenRoaming 是由無線寬頻聯盟（Wireless Broadband Alliance）推動的聯盟機制，運用 Passpoint 實現跨場域漫遊。Purple 是 OpenRoaming 身分識別提供者：Purple App 的使用者會取得 OpenRoaming 憑證，在任何支援 OpenRoaming 的場域都能自動連線。
如何選擇強制入口解決方案
評估強制入口軟體的實用檢查清單。
是否支援您現有的基地台？
是否支援您的受眾所期待的驗證方式？
GDPR、CCPA，以及產業專屬規範：HIPAA、PCI-DSS 與各地區法規。
能否選擇資料的儲存位置？
原生支援 HubSpot、Salesforce、Mailchimp、Dynamics 365 與 Klaviyo 的連接器。
為行銷團隊提供拖放式編輯，為設計團隊提供完整的 HTML/CSS。
訪客人數、回訪率、停留時間，並可匯出至您現有的儀表板。
一個儀表板管理多個場域。
如果明年更換基地台廠商，強制入口能否跟著沿用？
依場域、依基地台還是依使用者計價？規模擴大時是否仍可預測？
最低 99.9%。大型部署需要 99.99% 以上。
有 SLA 保障的支援時段、區域覆蓋與專屬聯絡窗口。
常見的強制入口問題與解決方法
最常見營運問題的簡要參考。大多數問題都出在圍牆花園設定，不確定時請從那裡開始檢查。
入口在 iOS 上沒有出現
通常是因為強制入口未正確回應 Apple 的已知 URL 探測。請確認入口會回傳正確的重新導向（HTTP 302）至入口頁面，且圍牆花園允許 captive.apple.com。
入口不斷循環或未放行裝置
RADIUS 授權變更（CoA）訊息沒有送達基地台。請確認基地台已設定接受來自入口 IP 範圍的 CoA，且中間沒有防火牆攔截這些訊息。
登入成功，但使用者無法連上網際網路
圍牆花園已放行裝置，但正式 VLAN 的路由不正確。請檢查 VLAN 到網際網路的路由，以及各 VLAN 的防火牆規則。
社群登入在 Android 上失敗
通常是缺少圍牆花園項目。每個社群登入提供者的網域（以及數個 Facebook 或 Google 子網域）都必須加入預先驗證的圍牆花園，OAuth 流程才能完成。
電子郵件驗證拒絕有效的地址
驗證服務會拒絕看起來不尋常的地址，例如剛註冊的網域或少見的頂級網域。請調整驗證政策，或將可信任的網域加入允許清單。
入口能顯示，但送出後毫無反應
通常是入口與社群登入或分析指令碼之間的內容安全政策（CSP）不一致。請在瀏覽器開發人員工具中檢查 CSP 標頭。
常見問題
什麼是強制入口？
+
強制入口是連上公共 WiFi 網路時出現的登入頁面。它會在讓您連上網際網路之前攔截流量，要求您透過電子郵件、社群登入、簡訊、代碼券或點擊同意進行驗證，並記錄此工作階段。
強制入口和歡迎頁面一樣嗎？
+
這兩個詞經常混用，但技術上，歡迎頁面是使用者看到的視覺層，而強制入口則是包含驗證、網路整合與工作階段管理的完整系統。
強制入口安全嗎？
+
入口本身透過 HTTPS 提供，作為網頁應用程式是安全的。底層的無線連線是否安全，則取決於網路是否採用 WPA2 或 WPA3 加密。無論如何，現代 HTTPS 網站都是端對端加密，因此即使在開放式強制入口 WiFi 上，大部分內容仍然安全。
強制入口和 RADIUS 伺服器有什麼不同？
+
強制入口是面向使用者的登入流程，RADIUS 伺服器則是網路的驗證後端，負責記錄工作階段並套用網路政策。多數強制入口部署都會在背景搭配一台 RADIUS 伺服器。Purple 以雲端服務的形式提供，您不需要自行架設。
我可以在 Cisco Meraki、Aruba 或 Ubiquiti 上運行強制入口嗎？
+
可以。Purple 強制入口支援各大企業級基地台廠商。整合採用標準 RADIUS 與圍牆花園設定，不需要更換硬體。
什麼是客製化強制入口？
+
客製化強制入口是專為特定場域設計的入口頁面，而非使用廠商的範本。Purple 同時為行銷團隊提供拖放式自訂，並為設計團隊提供完整的 HTML 與 CSS 控制。
Passpoint 會取代強制入口嗎？
+
目前還不會，但 Passpoint 正在成長。兩者可以並存：Passpoint 讓回訪使用者自動無感上線，強制入口則負責品牌化的首次接觸與數據蒐集。多數大型場域都會在同一個 SSID 上同時部署兩者。
強制入口的工作階段會持續多久？
+
通常可設定為一小時到一年不等。飯店旅宿場域常將工作階段設為一週，讓回訪房客自動重新連線；零售場域則會設定較短的工作階段，以便每次造訪都能蒐集數據。Purple 的預設值為 30 天，可依 SSID 調整。
強制入口會蒐集哪些數據？
+
只蒐集您設定的項目，不會多蒐集。常見欄位包括電子郵件、姓名與行銷訂閱同意。選填欄位包括電話、出生日期、郵遞區號、場域偏好與自訂欄位。每次註冊都會記錄同意，以符合 PECR 與 UK GDPR。
我可以同時運行強制入口與 Passpoint 嗎？
+
可以。兩者可以在同一個 SSID 上運行，也可以在同一台基地台廣播的不同 SSID 上運行，由裝置選擇最佳的可用方式。支援 Passpoint 的裝置會無感連線，其他裝置則會進入強制入口。