Comparativa de perfiles de certificado MDM WiFi: Intune, Jamf Pro, JumpCloud, Kandji, Hexnode, Iru y Addigy

{{asset:header_image.png}}

Todos los MDM enumerados aquí pueden implementar un perfil de certificado EAP-TLS WiFi, creado a partir de un certificado SCEP o PKCS más una carga útil WiFi. Microsoft Intune y Hexnode cubren Windows, Apple y Android. Jamf Pro, Kandji (ahora Iru) y Addigy cubren dispositivos Apple. JumpCloud emite sus propios certificados. El RADIUS en la nube de Purple valida el resultado. Valores a fecha de 10 de junio de 2026.

¿Cómo debo leer esta referencia de perfiles de certificado WiFi para MDM?

Esta referencia cubre una sola tarea: instalar un certificado de cliente y un perfil WiFi coincidente en los dispositivos gestionados. A continuación, esos dispositivos se conectan a su red segura mediante EAP-TLS, a través de los puntos de acceso que ya utiliza.

Cada fila de la matriz principal corresponde a un MDM. Cada columna responde a una pregunta que se formularía antes de elaborar una lista corta. La columna Origen indica la documentación del proveedor o el estándar en el que se basa cada celda. Si no hemos encontrado documentación para un valor, lo hemos omitido en lugar de deducirlo.

Términos incluidos en las columnas

• EAP-TLS (Extensible Authentication Protocol con Transport Layer Security, RFC 5216): el dispositivo demuestra su identidad mediante un certificado y no con una contraseña.
• IEEE 802.1X: el estándar de control de acceso basado en puertos que sus puntos de acceso aplican en una SSID WPA2-Enterprise o WPA3-Enterprise.
• RADIUS: el servidor que comprueba cada solicitud de 802.1X. Devuelve una aceptación o un rechazo, además de atributos como una VLAN.
• VLAN (VLAN o LAN virtual): el segmento de red en el que se ubica un dispositivo tras autenticarse.
• SCEP (Simple Certificate Enrollment Protocol, RFC 8894): el dispositivo genera su propia clave y solicita un certificado a su autoridad de certificación (CA).
• PKCS #12: un paquete que contiene un certificado y su clave privada, generado fuera del dispositivo.
• Nombres de servidor y raíz de confianza: los ajustes que indican a un dispositivo qué certificado de servidor RADIUS debe aceptar.

Dónde se instala el perfil

Purple Access gestiona tres redes en una misma plataforma. La red abierta admite el inicio de sesión en el portal cautivo y la incorporación de dispositivos BYOD (traiga su propio dispositivo). La red segura incluye EAP-TLS, inicio de sesión de proveedores de identidad, Passpoint y RADIUS en la nube. La red xPSK asigna a cada dispositivo o residente su propia clave precompartida. En las tres redes, la identidad determina la VLAN.

Todos los perfiles de esta referencia se instalan en la red segura. Su MDM entrega el certificado y el perfil. El RADIUS en la nube de Purple valida el certificado y lee la identidad integrada en él. La SSID permanece en sus puntos de acceso actuales, por lo que no necesita hardware nuevo.

{"kind":"flow","direction":"lr","caption":"Cómo llega un perfil de certificado MDM a la red segura","alt":"Flujo desde la consola MDM y la autoridad de certificación hasta el dispositivo gestionado, el punto de acceso, Purple cloud RADIUS y la asignación de VLAN.","nodes":[{"id":"a","label":"Consola MDM","sub":"Intune, Jamf Pro, JumpCloud, Kandji (ahora Iru), Hexnode, Addigy","tone":"neutral"},{"id":"b","label":"Autoridad de certificación","sub":"Emite el certificado de cliente mediante SCEP o PKCS #12","tone":"neutral"},{"id":"c","label":"Dispositivo gestionado","sub":"Contiene el certificado, la raíz de confianza y el perfil WiFi","tone":"neutral"},{"id":"d","label":"Punto de acceso","sub":"Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"Purple cloud RADIUS","sub":"Valida EAP-TLS y lee la identidad","tone":"brand"},{"id":"f","label":"Asignación de VLAN","sub":"La identidad establece la VLAN en la red segura","tone":"success"}],"edges":[{"from":"a","to":"b","label":"desafío o conector"},{"from":"b","to":"c","label":"certificado"},{"from":"a","to":"c","label":"perfil WiFi","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"acceso aceptado"}]}

La fecha de actualización

Cada tabla incluye una fecha asOf. Esta edición es del 10 de junio de 2026. Las consolas MDM cambian entre versiones, por lo que si una celda es anterior a su fecha asOf, tómela como un aviso para consultar la documentación vinculada.

{"tone":"note","title":"Alcance","text":"Esta página compara lo que documenta cada MDM para los perfiles de certificado WiFi. El precio, los parches y la gestión de aplicaciones quedan fuera de este alcance."}

¿Qué perfiles de certificado WiFi admite cada MDM?

La matriz responde a cuatro preguntas por MDM. ¿Qué plataformas admiten un perfil de certificado WiFi? ¿Cómo llega el certificado? ¿Qué rutas de CA documenta el proveedor? ¿Cómo apunta el perfil WiFi al certificado?

{"caption":"Comparativa de perfiles de certificados WiFi para MDM","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"Plataformas de perfil WiFi"},{"key":"cert","label":"Entrega de certificados"},{"key":"ca","label":"Rutas de CA documentadas"},{"key":"eap","label":"Enlace EAP-TLS"},{"key":"src","label":"Fuente"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","Perfiles de certificado SCEP, PKCS y de confianza","AD CS a través de Certificate Connector, Microsoft Cloud PKI, CA de socios","El perfil WiFi selecciona el perfil SCEP o PKCS","Microsoft Learn: certificados en Intune"],["Jamf Pro","macOS, iOS, iPadOS","Payloads de certificado (PKCS #12) y SCEP","CA integrada, AD CS Connector, DigiCert, Venafi, proxy SCEP","El payload WiFi selecciona el certificado de identidad","Documentación de Jamf Pro: certificados PKI"],["JumpCloud","macOS, Windows, iOS","Certificados emitidos por JumpCloud; perfiles de Apple personalizados","JumpCloud CA para JumpCloud RADIUS; SCEP externo mediante perfil personalizado","Autenticación basada en certificados para RADIUS","Soporte de JumpCloud: autenticación basada en certificados RADIUS"],["Kandji (now Iru)","macOS, iOS, iPadOS, tvOS","Elementos de biblioteca de certificado, SCEP y AD CS","AD CS a través de Kandji AD CS Connector; cualquier servidor SCEP","El elemento de biblioteca WiFi selecciona el certificado de identidad","Soporte de Kandji: elementos de la biblioteca"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","Políticas de certificados y SCEP","Cualquier servidor SCEP, como AD CS con NDES; subida de PKCS #12","La política WiFi hace referencia al certificado","Centro de ayuda de Hexnode: políticas de WiFi y SCEP"],["Addigy","macOS, iOS, iPadOS","Payloads MDM de certificado y SCEP","Cualquier servidor SCEP; subida de PKCS #12","El payload WiFi hace referencia al certificado de identidad","Soporte de Addigy: configuraciones MDM"]],"footnote":"Las plataformas son las que cada proveedor documenta para los perfiles de certificado WiFi en la fecha asOf. Consulte las notas de lanzamiento para ver plataformas más recientes.","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

Destacan tres patrones. Intune y Hexnode documentan perfiles de certificado WiFi en Windows, Apple y Android. Jamf Pro, Kandji (now Iru) y Addigy se basan en los payloads de Apple, por lo que sus opciones de EAP coinciden y sus integraciones de CA difieren. JumpCloud vincula sus certificados con su propio servicio RADIUS, lo que cambia la forma de conectarlo con Purple.

¿Qué notas cambian una celda en la matriz?

Kandji y Iru son el mismo producto

Kandji anunció su cambio de marca a Iru en 2025. Una sola fila cubre ambos nombres, ya que los elementos de la biblioteca de WiFi, certificado, SCEP y AD CS son el mismo producto. Los artículos de soporte más antiguos aún utilizan el nombre de Kandji.

Intune necesita una ruta de CA antes de que funcione el perfil WiFi

Intune solo emite certificados por sí mismo si cuenta con la licencia de Microsoft Cloud PKI. De lo contrario, SCEP se ejecuta a través del Servicio de inscripción de dispositivos de red (NDES) y el Intune Certificate Connector frente a Active Directory Certificate Services (AD CS). Una CA de terceros compatible es la otra vía. La entrega de PKCS también utiliza Certificate Connector.

Despliegue primero el perfil de certificado de confianza, después el perfil SCEP o PKCS y, finalmente, el perfil de WiFi que hace referencia a ambos. El perfil SCEP de Intune incluye un umbral de renovación, un porcentaje de la vida útil restante, con un valor predeterminado documentado del 20 %. Para elegir entre una CA gestionada y AD CS, consulte PKI gestionada o AD CS para certificados WiFi.

Los MDM exclusivos de Apple comparten un mismo modelo de carga útil

Jamf Pro, Kandji (ahora Iru) y Addigy configuran la carga útil de WiFi de Apple. La documentación de Apple enumera TLS, TTLS, LEAP, PEAP, EAP-FAST, EAP-SIM y EAP-AKA como tipos de EAP aceptados. Por lo tanto, la celda EAP-TLS se lee de la misma manera para los tres. La diferencia se encuentra en la columna CA, donde cada proveedor documenta integraciones distintas.

Los certificados de JumpCloud están diseñados para JumpCloud RADIUS

La autenticación basada en certificados de JumpCloud emite certificados desde una CA de JumpCloud para su propio servicio RADIUS. Para utilizar en su lugar el RADIUS en la nube de Purple, confirme dos puntos con JumpCloud. Primero, ¿puede un servidor RADIUS de terceros confiar en esa CA emisora? Segundo, ¿se adapta a su flota de Apple un perfil personalizado que lleve una carga útil SCEP a su propia CA? La guía de JumpCloud y 802.1X detalla ambas vías.

La validación del servidor es una configuración independiente

Intune la denomina "Certificado raíz para la validación del servidor" y "Nombres de servidor de certificados". Las cargas útiles de Apple la llaman certificados de confianza y nombres de servidor de confianza. Todos los MDM de la matriz la exponen, pero ninguno la rellena por usted.

{"tone":"warning","title":"Configure la confianza del servidor en cada perfil","text":"Si deja en blanco la raíz de confianza o los nombres de servidor, es posible que el dispositivo solicite a la persona que lo sostiene que confíe en el servidor. Un punto de acceso no autorizado puede explotar esa solicitud."}

La identidad del certificado establece la VLAN

Un certificado de dispositivo identifica el hardware. Un certificado por persona identifica al miembro del personal que ha iniciado sesión, normalmente a través del UPN (nombre de inicio de sesión del directorio) en el nombre alternativo del sujeto. Las cajas registradoras compartidas y los quioscos se adaptan a los certificados de dispositivo. Los portátiles asignados se adaptan a los certificados por persona, vinculados a grupos de Microsoft Entra ID, Okta o Google Workspace.

PEAP en Windows 11 cambia la celda de migración

Microsoft documenta que Credential Guard bloquea el inicio de sesión único con MS-CHAPv2, el método de contraseña dentro de PEAP. Windows 11 22H2 y versiones posteriores activan Credential Guard de forma predeterminada para los dispositivos compatibles. Los perfiles de WiFi basados en contraseña pueden dejar de funcionar tras una actualización, por lo que el paso a EAP-TLS se convierte en una tarea programada.

{"tone":"proof","title":"Lo que ofrece el cambio","text":"McDonald's registró un 80 % menos de solicitudes de soporte técnico de TI con Purple. La configuración del MDM requiere de cinco a diez minutos, una sola vez, para toda la organización."}

¿Cómo se vinculan las variantes de certificados y EAP con las redes de Purple?

La matriz principal compara los MDM. Esta compara las variantes de perfil que aplican, el estándar tras cada una y la red de Purple en la que aterrizan. La columna destacada muestra la integración con Purple.

{"caption":"Variantes de perfiles WiFi según estándar y red de Purple","asOf":"2026-06-10","columns":[{"key":"v","label":"Variante"},{"key":"c","label":"Contenido del perfil"},{"key":"s","label":"Estándar"},{"key":"p","label":"Adaptación a la red de Purple","highlight":true},{"key":"src","label":"Fuente"}],"rows":[["EAP-TLS, certificado de dispositivo mediante SCEP","Clave generada por el dispositivo, CA raíz, SSID, nombres de servidor","IEEE 802.1X, RFC 5216, RFC 8894","Red segura; la identidad del dispositivo establece la VLAN","Editor de RFC; documentación de MDM anterior"],["EAP-TLS, certificado por persona mediante SCEP","Certificado vinculado a la persona que ha iniciado sesión (tipo `User` de Intune)","IEEE 802.1X, RFC 5216, RFC 8894","Red segura; el grupo de directorio establece la VLAN","Microsoft Learn: perfiles de certificado SCEP"],["EAP-TLS, entrega PKCS #12","Par de claves generado fuera del dispositivo, entregado como paquete","RFC 7292, RFC 5216","Red segura; se prefiere SCEP si está disponible","Microsoft Learn: certificados PKCS"],["EAP-TLS, ACME con atestación","Clave vinculada al hardware solicitada en un dispositivo Apple","RFC 8555; carga de certificado ACME de Apple","Red segura; confirme primero la compatibilidad con MDM","Documentación de administración de dispositivos de Apple"],["Passpoint con EAP-TLS","Certificado más dominio, dominio NAI y consorcio de itinerancia","Hotspot 2.0 (IEEE 802.11u)","Red segura; conexión automática entre distintas ubicaciones","Documentación de administración de dispositivos de Apple"],["PEAP-MSCHAPv2","Nombre de usuario y contraseña; sin certificado de cliente","RFC 2759 (MS-CHAPv2)","No es un perfil de certificado; migrar a EAP-TLS","Microsoft Learn: Credential Guard"],["xPSK, sin certificado","Una clave precompartida única por dispositivo o residente","WPA2-Personal o WPA3-Personal","Red xPSK; la identidad de la clave establece la VLAN","Documentación de Purple Access"]],"footnote":"La adaptación a la red de Purple refleja las tres redes de Purple Access: abierta, segura y xPSK."}

Considere las dos primeras filas como predeterminadas. SCEP mantiene la clave privada en el dispositivo, por lo que lo situamos por encima de la entrega PKCS #12. ACME (Automatic Certificate Management Environment, RFC 8555) añade claves vinculadas al hardware en dispositivos Apple recientes. El soporte de MDM para este estándar varía, por lo que debe consultar primero a su proveedor. La guía SCEP frente a ACME compara ambos protocolos de inscripción.

Passpoint (Hotspot 2.0) permite que un dispositivo se conecte automáticamente a una red reconocida utilizando sus credenciales y una coincidencia de dominio. El personal que se desplaza entre sedes deja de tener que seleccionar un SSID en cada una de ellas. xPSK se sitúa fuera de los perfiles de certificados. Es adecuado para impresoras y sensores de Internet de las cosas (IoT) que no pueden alojar un certificado.

La segmentación basada en identidades ya funciona a gran escala. JPMorgan ejecuta el WiFi para empleados en Purple en 5000 sucursales, y Whitbread ejecuta el WiFi segmentado para empleados en Purple. Si solo los dispositivos que cumplen una directiva de cumplimiento de Intune deben acceder al WiFi del personal, consulte la guía de directivas de cumplimiento de Intune para acceso WiFi.

¿De dónde procede cada valor?

Cada celda proviene de una de estas fuentes primarias:

• Microsoft Intune: Microsoft Learn, certificados en Intune, además de las configuraciones de WiFi por plataforma y los artículos de Credential Guard.
• Jamf Pro: Documentación de Jamf, certificados PKI y perfiles de configuración.
• JumpCloud: Soporte de JumpCloud, autenticación basada en certificados RADIUS.
• Kandji (ahora Iru): Soporte de Kandji, elementos de la biblioteca para WiFi, SCEP y AD CS.
• Hexnode: Centro de ayuda de Hexnode, directivas de WiFi y SCEP.
• Addigy: Soporte de Addigy, configuraciones de MDM.
• Apple: Documentación de gestión de dispositivos Apple para los payloads de certificados WiFi, SCEP y ACME.
• Estándares: RFC 5216 (EAP-TLS), RFC 9190 (EAP-TLS 1.3), RFC 8894 (SCEP), RFC 8555 (ACME), RFC 7292 (PKCS #12), IEEE 802.1X-2020 e IEEE 802.11u.

Para obtener una visión más amplia, comience con el pilar de red segura sobre certificados, identidad y Passpoint. La visión del producto se encuentra en Purple staff WiFi en la red segura. Para el marco de auditoría, lea la guía de seguridad de WiFi para empresas.

¿Cómo se mantiene esta referencia?

Volvemos a comprobar cada casilla con su fuente enlazada en cada edición y actualizamos la fecha asOf en ambas tablas. Una casilla solo cambia cuando cambia la documentación del proveedor o un estándar. Si ningún documento respalda un valor, el valor se elimina de la tabla en lugar de mantenerse de memoria.

Los cambios de marca y las incorporaciones de plataformas se registran como notas, como en el caso de Kandji e Iru. Si un proveedor publica un cambio antes de nuestra próxima edición, la documentación del proveedor prevalece sobre esta página.

Preguntas frecuentes

¿Necesito nuevos puntos de acceso para utilizar perfiles de certificados MDM con Purple?

No. Los perfiles de certificados se ejecutan en los SSID de WPA2-Enterprise o WPA3-Enterprise que sus puntos de acceso ya admiten. Purple es independiente del hardware y se ejecuta como una superposición en la nube en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Solo tiene que apuntar el SSID al RADIUS en la nube de Purple en su consola inalámbrica. Purple se ejecuta en más de 80 000 ubicaciones en 90 países con este modelo.

¿Qué MDM se adapta a un entorno que combina Windows, Apple y Android?

Microsoft Intune o Hexnode, según las plataformas que documente cada uno para los perfiles de certificados WiFi. Jamf Pro, Kandji (ahora Iru) y Addigy documentan dispositivos Apple, por lo que un entorno mixto los combina con una segunda herramienta. JumpCloud documenta macOS, Windows y iOS para la autenticación basada en certificados. El RADIUS en la nube de Purple acepta certificados de cualquiera de ellos, siempre que confíe en la CA emisora.

¿Cuánto tiempo se tarda en configurar el MDM con Purple?

La configuración del MDM requiere de cinco a diez minutos, por una sola vez, para toda la organización. Esa cifra cubre la parte de la integración correspondiente a Purple. La ruta de su CA tarda más si aún no existe; por ejemplo, si tiene que implementar NDES o adquirir licencias de Microsoft Cloud PKI. Una vez que ambos estén operativos, los nuevos dispositivos recibirán el certificado y el perfil de WiFi en el momento de la inscripción, sin necesidad de realizar trabajos individuales por dispositivo.

¿Debo utilizar SCEP o PKCS #12 para los certificados de WiFi?

Utilice SCEP siempre que su MDM y su CA lo admitan. Con SCEP, el dispositivo genera su clave privada y la clave nunca sale de él. Con PKCS #12, el par de claves se crea en otro lugar y se entrega como un paquete, por lo que la clave es gestionada por más sistemas. PKCS #12 sigue siendo una opción válida para una CA que no disponga de un punto de conexión SCEP.

¿Puedo migrar de PEAP a EAP-TLS sin realizar una desconexión de fin de semana?

Sí. Publique un nuevo perfil de EAP-TLS, o una nueva SSID, junto al perfil de PEAP existente. Elimine PEAP una vez que los registros de autenticación de RADIUS muestren que los dispositivos están utilizando certificados. Credential Guard en Windows 11 hace que esta migración sea urgente, ya que bloquea el inicio de sesión único con MS-CHAPv2 en los dispositivos aptos. Realizar la transición por fases (por sitio o por grupo de dispositivos) mantiene estable el volumen de trabajo del soporte técnico durante el cambio.

¿Ayuda un perfil de certificado EAP-TLS con las auditorías de PCI DSS o ISO 27001?

Proporciona pruebas para dichos controles, no un aprobado automático. Un perfil de certificado demuestra que cada dispositivo se ha autenticado con una credencial única sobre IEEE 802.1X, con el tráfico cifrado mediante WPA2-Enterprise o WPA3-Enterprise. Los auditores pueden vincular esto con los requisitos de autenticación y conectividad inalámbrica de PCI DSS v4.0, así como con el control de acceso de ISO 27001. Purple cuenta con la certificación ISO 27001 y Cyber Essentials.

¿Cuánto cuesta cada opción?

Esta referencia no incluye precios, ya que los proveedores los cambian con más frecuencia que su documentación. Calcule el presupuesto para dos elementos además de las licencias de MDM. El primero es la CA: Microsoft Cloud PKI es un complemento de Intune, mientras que AD CS se ejecuta en Windows Server con NDES para SCEP. El segundo es RADIUS, que Purple Access ofrece como un servicio en la nube.

¿Necesitan Kandji e Iru diferentes perfiles de WiFi?

No. Kandji anunció su cambio de marca a Iru en 2025, y ambos nombres describen un mismo producto. Los elementos existentes en su biblioteca de WiFi, Certificados, SCEP y AD CS siguen siendo válidos, por lo que conservará la misma raíz de confianza, nombres de servidor y certificado de identidad. La plataforma RADIUS en la nube de Purple detecta el mismo certificado en ambos casos, y las reglas de VLAN que haya creado se mantendrán vigentes.