Passpoint frente a portal cautivo: cuándo usar cada inicio de sesión

{{asset:header_image.png}}

Elija un portal cautivo si necesita términos, consentimiento y datos propios de los visitantes a los que recibe por primera vez. Elija Passpoint si esas mismas personas regresan y deberían conectarse automáticamente mediante IEEE 802.1X, el estándar de acceso autenticado y cifrado. La mayoría de las instalaciones con múltiples sedes necesitan ambos, y Purple Access los ejecuta en paralelo en una sola plataforma.

¿Passpoint o portal cautivo? ¿Cuál es la respuesta corta?

La elección depende de una sola pregunta: ¿ya sabe quién es esa persona? Si ya cuenta con una identidad antes de llegar, Passpoint es la mejor opción. Esa identidad puede ser una de las siguientes:

• una cuenta de empleado en Microsoft Entra ID
• un expediente de estudiante
• una clave de residente
• una credencial OpenRoaming en su teléfono

Si los recibe por primera vez en sus instalaciones, la mejor opción es un portal cautivo. El portal es el único punto donde los términos y el consentimiento aparecen en pantalla.

Qué es cada uno. Passpoint es el programa de certificación para Hotspot 2.0, el cual se basa en la enmienda IEEE 802.11u. Un dispositivo localiza una red Passpoint, la compara con un perfil almacenado y se autentica sin necesidad de pulsar nada. Un portal cautivo es una página web que mantiene a un nuevo dispositivo en un jardín vallado hasta que el visitante inicia sesión. La arquitectura de portal cautivo IETF, RFC 8952, describe cómo los dispositivos lo detectan y gestionan.

Realizan funciones diferentes. Passpoint sustituye la página de inicio de sesión para las personas en las que ya confía. El portal se gana la confianza de las personas que aún no conoce.

En Purple Access, se sitúan en redes independientes:

• Red abierta: el portal cautivo.
• Red segura: Passpoint.
• Red xPSK: una clave precompartida única por dispositivo o residente, para el hardware que no admite ninguna de las dos opciones anteriores.

En las tres, la identidad define la VLAN (LAN virtual), el segmento de red en el que recae un dispositivo.

¿Qué criterios determinan si elegir Passpoint o un portal cautivo?

Hamos evaluado ambas opciones conforme a ocho criterios. Cada uno corresponde a una pregunta a la que se enfrenta un director de TI tras el despliegue. Hemos utilizado únicamente la información respaldada por el material público de cada opción:

• Passpoint: el programa Passpoint y el material de WBA OpenRoaming.
• Portales cautivos: los RFC de IETF y la documentación del portal del proveedor.

Los ocho criterios:

1. Experiencia de conexión. Cuántas pulsaciones necesita una persona en su primera visita y en cada una de las siguientes.
2. Seguridad inalámbrica. Si el tráfico entre el dispositivo y el punto de acceso está cifrado y de qué manera.
3. Identidad y segmentación. En qué momento la red identifica quién se ha conectado y si la identidad establece automáticamente la VLAN.
4. Consentimiento y datos propios. Si el paso de conexión puede registrar la aceptación de términos y la autorización para recibir comunicaciones comerciales.
5. Cobertura de dispositivos. Qué dispositivos pueden conectarse sin ayuda del equipo de TI.
6. Itinerancia. Si un único inicio de sesión es válido para todas sus sedes y redes de socios.
7. Compatibilidad con el hardware. Si los puntos de acceso de los que dispone lo admiten actualmente.
8. Carga operativa. Lo que su equipo debe mantener semana a semana.

El precio no es un criterio aquí. Ambas opciones se ejecutan como software en los puntos de acceso que ya posee, por lo que el coste es una cuestión de estructura. Tratamos este tema en su propia sección más abajo.

¿Cómo se comparan Passpoint y el captive portal?

La matriz evalúa cada opción según ocho criterios. La columna Purple Access muestra cómo ejecutamos ambas opciones en una sola plataforma.

{"caption":"Passpoint frente a captive portal en ocho criterios","asOf":"2026-06-10","columns":[{"key":"c","label":"Criterio"},{"key":"p","label":"Captive portal (red abierta)"},{"key":"h","label":"Passpoint (red segura)"},{"key":"u","label":"Purple Access","highlight":true}],"rows":[["Experiencia de inicio de sesión","Página de inicio de sesión en la primera visita y tras caducar la sesión","Perfil instalado una vez y después automático","Ambos: portal en abierta, Passpoint en segura"],["Seguridad inalámbrica","Ninguna en red abierta normal; Enhanced Open cifra sin identidad","WPA2 o WPA3-Enterprise con 802.1X","EAP-TLS y RADIUS en la nube en la red segura"],["Identidad y VLAN","Conocida tras iniciar sesión, rol aplicado en ese momento","Conocida antes del primer paquete; RADIUS establece la VLAN","La identidad establece la VLAN en las tres redes"],["Consentimiento y datos","Términos y aceptación expresa en pantalla al conectarse","Sin página de inicio de sesión; términos solo mediante Release 3","Aceptaciones expresas mediante elección consciente; marketing de invitados en Engage"],["Cobertura de dispositivos","Cualquier dispositivo con un navegador","iOS, Android, Windows y macOS actuales con un perfil","xPSK para dispositivos que no admiten ninguno"],["Roaming","Nuevo inicio de sesión en cada ubicación","Un perfil entre instalaciones y más de 5 millones de puntos de acceso OpenRoaming","Agente de identidad certificado por la WBA; OpenRoaming gratuito con Connect"],["Compatibilidad de hardware","Ajustes de pantalla de bienvenida en Meraki, Aruba, Ruckus, Mist, UniFi","Ajustes de Hotspot 2.0 en los mismos puntos de acceso, si el firmware lo permite","Capas en la nube independientes del hardware, sin nuevos puntos de acceso"],["Carga operativa","Páginas de portal, listas de jardín vallado, particularidades de CNA","Certificados, perfiles y directiva RADIUS","Portal, RADIUS en la nube y EAP-TLS en una sola plataforma"]],"footnote":"Puntuado a partir del material del programa Passpoint y OpenRoaming, IETF RFC 8952 y documentación de proveedores. Las cifras de Purple son datos propios de Purple.","download":{"filename":"passpoint-vs-captive-portal.csv"}}

El cifrado es la diferencia más marcada

Un SSID abierto normal envía tráfico entre el dispositivo y el punto de acceso sin cifrado. Enhanced Open añade cifrado mediante Opportunistic Wireless Encryption (OWE, RFC 8110), pero no conlleva ninguna identidad.

Passpoint requiere WPA2-Enterprise o WPA3-Enterprise. Cada sesión se autentica a través de 802.1X mediante el protocolo Extensible Authentication Protocol (EAP). Cada sesión obtiene sus propias claves.

La identidad llega en momentos diferentes

Con un portal, la red conoce la identidad tarde. El dispositivo ya tiene una dirección IP y una sesión de navegador cuando esto sucede.

Con Passpoint, el punto de acceso comprueba primero. Consulta a un servidor RADIUS antes de que el dispositivo envíe su primer paquete de datos. RADIUS es el protocolo que utilizan los puntos de acceso para preguntar a un servidor de autenticación si debe admitir un dispositivo.

Ese orden determina lo que se puede aplicar. RADIUS devuelve una VLAN en el momento de la autenticación. Un estudiante, un contratista y un residente terminan en segmentos diferentes sin necesidad de un segundo paso.

{"kind":"lanes","direction":"lr","caption":"Dos rutas de inicio de sesión en los mismos puntos de acceso","alt":"Un Captive Portal mantiene el dispositivo en un entorno restringido hasta que se inicia sesión, mientras que Passpoint se autentica mediante 802.1X antes del primer paquete de datos.","lanes":[{"id":"o","label":"Captive Portal en la red abierta"},{"id":"s","label":"Passpoint en la red segura"}],"nodes":[{"id":"o1","label":"El dispositivo se une al SSID abierto","sub":"Sin cifrado a menos que sea Enhanced Open","lane":"o","tone":"neutral"},{"id":"o2","label":"Entorno restringido","sub":"Tráfico retenido hasta completar el portal","lane":"o","tone":"neutral"},{"id":"o3","label":"Inicio de sesión en el portal","sub":"Términos, consentimiento e identidad capturados","lane":"o","tone":"brand"},{"id":"o4","label":"Acceso concedido","sub":"Rol o VLAN aplicados tras el inicio de sesión","lane":"o","tone":"success"},{"id":"s1","label":"El dispositivo lee la baliza (beacon)","sub":"Consulta ANQP para dominio y consorcio de roaming","lane":"s","tone":"neutral"},{"id":"s2","label":"Coincidencia de perfil","sub":"Credencial almacenada o identidad de OpenRoaming","lane":"s","tone":"neutral"},{"id":"s3","label":"802.1X a RADIUS en la nube","sub":"EAP-TLS o EAP-TTLS, cifrado desde el principio","lane":"s","tone":"brand"},{"id":"s4","label":"La identidad establece la VLAN","sub":"Sesión WPA2 o WPA3-Enterprise","lane":"s","tone":"success"}],"edges":[{"from":"o1","to":"o2"},{"from":"o2","to":"o3"},{"from":"o3","to":"o4"},{"from":"s1","to":"s2"},{"from":"s2","to":"s3"},{"from":"s3","to":"s4"},{"from":"o3","to":"s2","label":"Incorporate a la red segura","style":"dashed"}]}

¿Dónde destaca Passpoint?

Personas que regresan todos los días

El personal, los estudiantes, los residentes y los miembros de espacios de cotrabajo se conectan a las mismas redes a diario. Un portal les vuelve a pedir credenciales cada vez que finaliza la sesión. Passpoint solo lo solicita una vez, al instalar el perfil, y nunca más.

Para un miembro, ese es el acceso WiFi sin interrupciones que espera tener como en su casa. Para su centro de soporte técnico, elimina las solicitudes repetidas de inicio de sesión que generan la mayoría de los tickets sobre portales.

Cifrado e identidad antes del primer paquete

Passpoint se autentica antes de que fluya cualquier dato. Utiliza EAP-TLS (autenticación basada en certificados), EAP-TTLS o métodos basados en SIM. Su equipo de seguridad obtiene pruebas de quién se conectó, cuándo y en qué VLAN.

Con Purple, RADIUS en la nube verifica cada credencial frente a Microsoft Entra ID, Okta o Google Workspace. Al revocar la cuenta, Purple revoca el acceso a la red. Las altas, cambios de rol y bajas se convierten en políticas en lugar de tickets. Nuestra guía de redes seguras sobre certificados, identidad y Passpoint cubre el modelo completo.

Roaming entre sedes, ciudades y redes de socios

La comparación entre OpenRoaming y el portal es más clara aquí. Un portal funciona en una única sede a la vez.

OpenRoaming adopta un enfoque diferente. La Wireless Broadband Alliance (WBA) lo gestiona para federar redes Passpoint, de modo que una sola identidad funciona en cada punto de acceso miembro. Purple es un agente de identidad certificado por la WBA, y OpenRoaming es gratuito a través de la licencia Connect.

{"items":[{"value":"Más de 5 millones","label":"Puntos de acceso OpenRoaming en todo el mundo"},{"value":"Más de 53 000","label":"estudiantes conectados en Newcastle","note":"Campus, ciudad y tranvías"},{"value":"Más de 80 000","label":"sedes activas en Purple","note":"Datos propios de Purple"}]}

{"tone":"proof","title":"Newcastle: la primera red OpenRoaming para toda una ciudad del mundo","text":"Purple gestiona la red OpenRoaming de Newcastle a escala urbana. Más de 53 000 estudiantes se desplazan libremente entre el campus, la ciudad y los tranvías utilizando una sola identidad."}

Si su equipo de seguridad pregunta qué puede ver una red visitada, diríjalos a ¿es seguro OpenRoaming?

Dispositivos que ocultan su dirección de hardware

iOS y Android utilizan de forma predeterminada una dirección MAC privada y aleatoria por red. Un portal que recuerda los dispositivos por la dirección MAC puede perderles el rastro y volver a pedir las credenciales. Passpoint autentica la credencial, no la dirección MAC, por lo que la aleatorización nunca activa un inicio de sesión repetido.

¿Dónde se impone un Captive Portal?

Visitantes esporádicos o por primera vez

El huésped de un hotel, un comprador o el asistente a un evento puntual no tienen ningún perfil en su teléfono. Un portal les permite conectarse desde cualquier navegador. Pedir a ese visitante que instale un perfil primero añade fricción a una visita que quizás no vuelva a repetirse.

Consentimiento, términos y datos de primera parte

El portal es el único lugar donde un visitante lee sus términos y da su consentimiento de forma consciente. Ese registro sirve como prueba del consentimiento exigido por el GDPR. También da inicio a los datos de primera parte que utiliza su equipo de marketing.

El marketing de invitados de Purple funciona en Engage. Nuestra guía de WiFi para invitados aborda ese aspecto.

Passpoint Release 3 añade un paso de aceptación de términos y condiciones, pero no un consentimiento de marketing. Consulte qué ha cambiado en Passpoint Release 3.

Cualquier dispositivo con un navegador

Los portales no exigen nada al dispositivo más allá de un navegador. Passpoint necesita el soporte de un sistema operativo actualizado y un perfil. Los teléfonos más antiguos, los portátiles de visitantes y las tabletas compartidas suelen quedar en esa brecha.

La detección del portal ahora está estandarizada. El RFC 8910 permite a la red anunciar el portal a través de DHCP. El RFC 8908 define una API que informa sobre el estado del portal. Ambos reducen los fallos del asistente de red cautiva (CNA) que generan incidencias.

Incorporación a la red segura

La red abierta es también el lugar donde se incorporan los dispositivos personales a la red segura. Un estudiante inicia sesión una vez a través del portal y recibe sus credenciales. A partir de ese momento, se conecta a la red 802.1X. Utilizado de esta manera, el portal es la puerta de entrada a Passpoint, no su rival.

{"tone":"warning","title":"Eliminar el portal elimina la aceptación voluntaria","text":"Passpoint no dispone de página en el momento de la conexión, por lo que no puede recopilar la aceptación voluntaria (opt-in) de marketing. Si cambia un SSID de invitados solo a Passpoint, dejará de recibir nuevos datos de primera parte."}

¿Cuánto cuesta mantener cada opción?

Ninguna de las dos opciones requiere nuevos puntos de acceso. El coste reside en las licencias, la identidad y el tiempo del personal. Aquí describimos la estructura, no los importes.

{"caption":"Coste de funcionamiento de cada inicio de sesión: conceptos de coste, no importes","asOf":"2026-06-10","columns":[{"key":"c","label":"Concepto de coste"},{"key":"p","label":"Captive portal"},{"key":"h","label":"Passpoint"},{"key":"u","label":"En Purple Access","highlight":true}],"rows":[["Licencia de software","Licencia de plataforma de portal","RADIUS en la nube, certificados y herramientas de perfiles","Plan de Connect, Capture o Engage"],["Hardware","Ninguno nuevo en puntos de acceso existentes","Ninguno nuevo; actualización de firmware si falta Hotspot 2.0","Superposición en la nube independiente del hardware"],["Federación","No forma parte del flujo del portal","OpenRoaming opcional a través de un intermediario de identidad de la WBA","OpenRoaming gratuito a través de Connect"],["Identidad","Inicio de sesión mediante redes sociales, correo o formulario","Un directorio para el que ya tiene licencia","Microsoft Entra ID, Okta, Google Workspace"],["Mantenimiento de contenidos","Diseño de página, texto de términos y condiciones, listas de walled garden","Plantillas de perfil y directivas RADIUS","Ambos funcionan en una sola plataforma"],["Trabajo de ciclo de vida","Temporizadores de sesión e inicios de sesión recurrentes","Emisión, renovación y revocación de certificados","Revocación vinculada a la cuenta del directorio"]],"footnote":"Solo estructura de costes. Consulte a cada proveedor para conocer los importes según su número de instalaciones y dispositivos."}

En Purple, el licenciamiento se realiza por plan: Connect, Capture y Engage. OpenRoaming se incluye de forma gratuita a través de la licencia de Connect, por lo que la federación no representa un concepto independiente. Los proveedores de identidad suelen ser licencias que ya posee. Passpoint para empleados y estudiantes reutiliza directorios por los que ya está pagando.

Los costes ocultos varían:

• Los portales conllevan costes de mantenimiento de contenidos y soporte para inicios de sesión recurrentes.
• Passpoint conlleva costes de trabajo en el ciclo de vida de los certificados: emisión al incorporarse, actualización al cambiar de puesto y revocación al darse de baja.

Si vincula ese ciclo de vida al directorio, este se ejecutará como una directiva y no como un trabajo manual.

¿Qué implica pasar de un Captive Portal a Passpoint?

La migración es aditiva. Se mantiene el SSID del portal y se añade una red segura a su lado. No hay sustitución integral ni paradas durante el fin de semana.

1. Compruebe el firmware para Hotspot 2.0. Confirme la compatibilidad en el panel de control de Cisco Meraki, HPE Aruba Central, Ruckus SmartZone, Juniper Mist o en la aplicación Ubiquiti UniFi Network. Cada proveedor documenta Hotspot 2.0 según la versión de firmware.
2. Elija una fuente de identidad por público. Utilice Microsoft Entra ID, Okta o Google Workspace para el personal y los estudiantes. Utilice OpenRoaming para los visitantes que dispongan de una identidad de otro origen.
3. Implemente RADIUS en la nube y certificados. Utilice EAP-TLS para dispositivos gestionados e incorporados. Configure la directiva RADIUS que asigna cada identidad a su VLAN.
4. Publique la red Passpoint. Configure el dominio NAI (Network Access Identifier), el consorcio de roaming y el dominio en el SSID. Utilice los valores de su proveedor RADIUS en lugar de intentar adivinarlos.
5. Distribuya los perfiles. Utilice la gestión de dispositivos móviles (MDM) para los dispositivos gestionados y la red abierta para los dispositivos personales. OpenRoaming se encarga de cubrir a todos los demás.
6. Mida la transición. Compare las sesiones en Passpoint con las sesiones en el portal en cada ubicación. A continuación, ajuste los temporizadores de sesión del portal.

{"tone":"tip","title":"Ejecute ambos SSID simultáneamente","text":"Añada la red Passpoint junto al SSID del portal existente en lugar de reemplazarlo. Los dispositivos sin perfil seguirán usando el portal; los que tengan perfil cambiarán de red automáticamente."}

Hay dos guías que profundizan en estos pasos:

• Convertirse en un proveedor de red de acceso OpenRoaming, para aceptar identidades de OpenRoaming de los visitantes en sus instalaciones.
• Comparativa de soporte de dispositivos con Passpoint, para ver cómo gestionan los perfiles iOS, Android, Windows y macOS.

¿Cómo debe tomar la decisión?

Esta es la regla de decisión. Utilice el portal cuando la relación comience en la propia puerta. Utilice Passpoint cuando la relación se haya iniciado antes de que el visitante llegue. Aplique la regla por tipo de público, no por conjunto de instalaciones.

{"title":"Passpoint o Captive Portal: cuál se adapta a cada público","options":[{"name":"Captive Portal","fitsWhen":["Ve a la mayoría de los visitantes una sola vez","Necesita términos y un consentimiento de marketing en el momento de conectarse","Los visitantes traen dispositivos que no se pueden aprovisionar con antelación"],"notWhen":["El mismo personal, estudiantes o residentes se conectan a diario","Su directiva exige cifrado en cada conexión"]},{"name":"Passpoint","fitsWhen":["Las personas regresan y ya disponen de una identidad","Necesita cifrado e identidad antes del primer paquete","Desea un único inicio de sesión entre sedes y socios de OpenRoaming"],"notWhen":["Su objetivo principal es recopilar datos propios de visitantes de primera vez","Los dispositivos no pueden almacenar un perfil"]},{"name":"Ambos en Purple Access","fitsWhen":["Sus instalaciones combinan invitados, personal, estudiantes y residentes","Desea utilizar la red abierta para incorporar dispositivos a la red segura"],"notWhen":["Todos los dispositivos de la sede están gestionados y pertenecen al personal"]}],"recommendation":"Conserve el portal para las personas con las que conecta por primera vez y migre a Passpoint a todos los usuarios que ya conozca."}

El siguiente paso es enumerar sus tipos de público ubicación por ubicación: invitados, personal, estudiantes, residentes, miembros y contratistas. Marque cuáles disponen ya de una identidad. Dichos grupos migrarán a Passpoint y el resto conservará el portal. A continuación, descubra cómo funcionan Passpoint y OpenRoaming en Purple Access.

Preguntas frecuentes

¿Es Passpoint más seguro que un Captive Portal?

Sí, de forma inalámbrica. Passpoint requiere WPA2-Enterprise o WPA3-Enterprise con 802.1X, por lo que cada sesión se autentica y encripta antes de que fluyan los datos. Una red SSID abierta sin más con un portal no encripta nada entre el dispositivo y el punto de acceso. Enhanced Open añade encriptación pero no identidad. Un portal sigue aportando pruebas del consentimiento, algo que Passpoint no puede hacer. Para conocer los detalles de OpenRoaming, lea ¿es seguro OpenRoaming?

¿Funciona Passpoint en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi?

Sí. Cada uno de los cinco documenta la configuración de Hotspot 2.0 en el SSID, sujeto a la versión del controlador y del firmware. Purple añade RADIUS en la nube e identidad como una superposición en la nube independiente del hardware, por lo que no necesita nuevos puntos de acceso. Consulte las notas de firmware de cada proveedor para Hotspot 2.0 antes de publicar la red. Actualice primero las ubicaciones que ejecuten versiones más antiguas.

¿Puedo recopilar el consentimiento de marketing con Passpoint?

No. Passpoint no tiene ninguna página en el momento de conectarse, por lo que no puede presentar una opción de inclusión voluntaria (opt-in) de marketing. La versión 3 añade la aceptación de términos, no el consentimiento de marketing. Mantenga un portal cautivo en la red abierta para los visitantes primerizos, donde las opciones de inclusión voluntaria mediante una elección consciente generan datos propios. El marketing de invitados de Purple se ejecuta en Engage. Los visitantes recurrentes pueden pasar a Passpoint y usted conservará los registros de consentimiento que ya posee.

¿Cuánto cuesta OpenRoaming con Purple?

OpenRoaming es gratuito a través de la licencia Connect de Purple. No tiene que presupuestar una partida de federación independiente. Purple es un agente de identidad certificado por la WBA, por lo que sus ubicaciones se unen a una federación de más de 5 millones de puntos de acceso en todo el mundo a través de su contrato con Purple. Su elección de plan (Connect, Capture o Engage) establece el resto del coste; OpenRoaming no lo hace.

¿Puedo ejecutar Passpoint y un portal cautivo en los mismos puntos de acceso?

Sí. Se ejecutan como SSID independientes en las mismas radios: una red abierta con el portal y una red segura con Hotspot 2.0 habilitado. Purple ejecuta redes abiertas, seguras y de xPSK en una sola plataforma, y la identidad establece la VLAN en cada una. Mantenga un número bajo de redes SSID. Cada SSID adicional añade sobrecarga de balizamiento (beaconing) en cada radio.

¿Cuánto esfuerzo supone pasar de un portal cautivo a Passpoint?

Menos que un proyecto de hardware, porque no se reemplaza nada. El trabajo radica en la identidad y las directivas. Debe elegir un directorio por audiencia, poner en marcha RADIUS y certificados en la nube, habilitar Hotspot 2.0 y distribuir perfiles. El portal permanece activo en todo momento, por lo que no hay interrupción en la transición. La mayor parte del esfuerzo se centra en la distribución de perfiles, lo que depende de cuántos dispositivos gestione a través de MDM.

¿Un portal cautivo proporciona pruebas de auditoría para GDPR?

Proporciona pruebas del consentimiento, siempre que la inclusión voluntaria sea una elección consciente y usted la registre. El portal muestra los términos y captura la aceptación en el momento de conectarse. Purple cuenta con la certificación ISO 27001 y Cyber Essentials, lo que respalda su evaluación de proveedores. Passpoint ofrece un tipo de prueba diferente: una identidad autenticada y VLAN para cada sesión.### ¿Qué dispositivos admiten Passpoint?

Las versiones actuales de iOS, Android, Windows y macOS admiten Passpoint, pero cada una instala y gestiona los perfiles de forma diferente. Los teléfonos más antiguos y los dispositivos sin interfaz gráfica a menudo carecen de soporte o no disponen de forma de instalar un perfil. Aquí es donde entra xPSK, asignando a cada dispositivo o residente su propia clave en una red segmentada. Para obtener información detallada sobre las plataformas, lea la comparativa de compatibilidad de dispositivos con Passpoint.