PPSK para dispositivos de tiendas minoristas: una lista de comprobación de despliegue para cajas registradoras, escáneres y CCTV en Cisco Meraki y Juniper Mist

Las claves privadas compratidas (PPSK) asignan a cada caja registradora, escáner, impresora y pantalla su propia clave WiFi dentro de una misma SSID. Cada clave se vincula a una VLAN (LAN virtual), una directiva y un límite de ancho de banda, de modo que las cajas permanecen aisladas de la señalización digital y el sistema de videovigilancia CCTV. Asocie claves a direcciones MAC y revoque la clave de un dispositivo perdido de forma individual. Cisco Meraki lo denomina Identity PSK; Juniper Mist lo llama Multi PSK.

¿Qué hacen realmente las PPSK por los dispositivos de las tiendas minoristas?

La mayoría de los establecimientos crean la red WiFi para sus dispositivos de forma imprevista. Los escáneres se conectan a la SSID del personal. Los reproductores de señalización digital se unen a cualquier red que el instalador detecte en ese momento. Una cámara inalámbrica termina en la red de invitados. Todo el mundo comparte una única contraseña que no se ha cambiado desde que se inauguró la tienda.

Las PPSK solucionan esto sin requerir ninguna acción adicional por parte del dispositivo. El dispositivo sigue detectando una única SSID e introduce una única frase de paso WPA2-Personal. El cambio se efectúa en la parte de la red. Cada dispositivo obtiene una frase de paso diferente. El punto de acceso vincula cada frase de paso a una identidad, ya sea de forma local o consultando a un servidor RADIUS. A continuación, aplica la VLAN, las reglas del firewall y el límite de ancho de banda asociados a esa identidad. RADIUS es el protocolo que utiliza un punto de acceso para preguntar a un servidor central quién es un dispositivo y a qué puede acceder.

Existen tres aspectos clave a tener en cuenta en una tienda:

• Separación por identidad. Una caja registradora y un reproductor de señalización digital en la misma SSID terminan en VLAN diferentes, con reglas de firewall distintas.
• Aislamiento. Bajo la norma IEEE 802.11i, cada dispositivo deriva sus claves de sesión a partir de su propia frase de paso. Cualquiera que posea una frase de paso compartida y capture un intercambio de claves (handshake) puede derivar las claves de sesión de otro dispositivo. Con PPSK, el filtrado de la clave de una pantalla de señalización no permite descifrar el tráfico de las cajas registradoras.
• Revocación centralizada. Elimine una clave y solo un dispositivo perderá el acceso. Nada más cambiará en la tienda.

El papel de las PPSK en sus tres redes

Purple Access gestiona tres redes en una única plataforma, y la identidad determina la VLAN en cada una. La red abierta da servicio a los compradores mediante un Captive Portal, detallado en nuestra guía de Captive Portals. La red segura atiende al personal mediante 802.1X y EAP-TLS. 802.1X es el estándar para autenticar cada dispositivo antes de que se conecte. EAP-TLS es el método que utiliza un certificado instalado en el dispositivo. El personal también puede iniciar sesión con Microsoft Entra ID, Okta o Google Workspace, tal como se describe en Autenticación WiFi con Okta: pasos de configuración, opciones y soluciones.

Los certificados siguen siendo la opción predeterminada para las personas. La red xPSK cubre todo lo que no puede albergar uno: cajas registradoras, escáneres portátiles, impresoras de recibos, reproductores de señalización y CCTV inalámbrico. Utilizamos el mismo modelo para residentes en edificios de viviendas, explicado en Multifamily WiFi: cómo funcionan el aislamiento, xPSK y la facturación. Para ver el modelo de seguridad completo, consulte nuestra guía de seguridad WiFi.

Comparativa entre PPSK y las alternativas

Método	Lo que contiene el dispositivo	Revocar un dispositivo	VLAN y directiva por dispositivo	Infraestructura adicional	Adecuado para
PSK compartida	Una frase de paso compartida por todos los dispositivos	Volver a introducir la clave en todos los dispositivos del SSID	No, una VLAN por SSID	Ninguna	Nada que gestione pagos
PPSK (Meraki Identity PSK, Mist Multi PSK)	Su propia frase de paso, opcionalmente vinculada a su MAC	Eliminar una clave	Sí, por clave	Meraki: RADIUS para vinculación MAC. Mist: ninguna con Cloud PSK	Cajas registradoras, escáneres, impresoras, señalización, CCTV
IEEE 802.1X con EAP-TLS	Un certificado de cliente	Revocar un certificado	Sí, por identidad	Servidor RADIUS e infraestructura de clave pública (PKI)	Portátiles de empresa y teléfonos bajo MDM
Omisión de autenticación MAC	Nada: la dirección MAC es la identidad	Eliminar una dirección MAC	Sí, por dirección MAC	Servidor RADIUS	Dispositivos cableados que no admiten nada más

MDM significa gestión de dispositivos móviles, el sistema que envía la configuración a los teléfonos, escáneres y portátiles propiedad de la empresa.

¿Qué necesita antes de desplegar PPSK en sus tiendas?

La mayor parte del trabajo se realiza antes de crear una sola clave. Asegúrese de tener lo siguiente primero:

• Un inventario de dispositivos por tienda. Registre la clase de dispositivo, marca, modelo, dirección MAC, si la MAC es fija, modos de seguridad admitidos y bandas de radio.
• Un plan de segmentación. Acuerde una VLAN por clase de dispositivo con quien gestione los contratos de pagos, CCTV y señalización.
• Trunking VLAN a cada punto de acceso. Cada puerto de enlace ascendente del AP debe transportar la VLAN de cada segmento, de lo contrario los dispositivos se asociarán pero no obtendrán dirección IP.
• Reglas de firewall por segmento. Anote a qué puede acceder cada segmento antes de configurar nada.
• Acceso a la consola. Necesita derechos de administración a nivel de organización en Meraki Dashboard o en el portal de Juniper Mist.
• Una decisión sobre dónde residen las claves. Las claves pueden estar en el propio SSID, en un servidor RADIUS o en un servicio de claves en la nube. La tabla a continuación vincula su red con una opción.
• Control MDM de escáneres Android. Lo necesitará para fijar la dirección MAC por red y enviar claves de forma remota.
• Un responsable para el registro de claves. Los dispositivos sufren altas, traslados y bajas al igual que el personal. Alguien debe registrar cada clave emitida y cada clave revocada.

Su infraestructura	Dónde deben residir las claves	Vinculación MAC	Por qué
Solo Cisco Meraki, una clave por clase de dispositivo	Identity PSK sin RADIUS, claves almacenadas en el SSID	No disponible	Inicio más rápido, pero una clave filtrada funciona en cualquier dispositivo
Cisco Meraki, una clave por dispositivo	Identity PSK con RADIUS, apuntando a un servicio RADIUS en la nube	Sí, búsqueda por dirección MAC	Cada clave solo funciona para el dispositivo al que se le asignó
Solo Juniper Mist	Mist Cloud PSK	Sí, con claves de un solo uso	Nativo de la nube de Mist, con VLAN, rol y caducidad por clave
Infraestructura mixta: Meraki más HPE Aruba, Ruckus, Mist o Ubiquiti UniFi	Purple Access xPSK como RADIUS en la nube	Sí	Un registro de clave para todos los fabricantes, sin necesidad de reemplazar la infraestructura

¿Cómo se configura PPSK en Cisco Meraki y Juniper Mist?

Paso 1: diseñar el mapa de claves por segmento

Diseñe los segmentos antes de tocar cualquier consola. Este mapa mantiene la seguridad WiFi de las terminales de pago separada de todo lo que no necesite acceder a los pagos.

Clase de dispositivo	Segmento	Puede acceder a	Política de ancho de banda	Alcance de la clave
Terminales de pago y cajas registradoras	Pagos	Solo procesador de pagos y servidor de caja	Sin límite, máxima prioridad	Una por dispositivo, vinculada a la MAC
Escáneres portátiles	Operaciones de tienda	Sistemas de inventario, pedidos y gestión de dispositivos portátiles	Límite por dispositivo	Una por dispositivo, vinculada a la MAC
Impresoras de recibos y etiquetas	Operaciones de tienda	Servidores de caja e impresión	Límite bajo por dispositivo	Una por dispositivo, vinculada a la MAC
Reproductores de señalización digital	Señalización	Sistema de gestión de contenidos y servidores de actualización	Límite por dispositivo	Una por dispositivo, vinculada a la MAC
CÁMARAS CCTV inalámbricas	CCTV	Solo grabador de vídeo en red	Margen reservado a la velocidad de bits de la cámara	Una por dispositivo, vinculada a la MAC

Mantenga bajo el número de segmentos. Cinco segmentos por tienda son suficientes para la mayoría de las infraestructuras, y cada VLAN adicional debe estar vinculada en trunk a cada AP.

Paso 2: Cisco Meraki e Identity PSK

Meraki aplica la política por clave a través de directivas de grupo, por lo que debe crearlas primero. En el Meraki Dashboard, cree una directiva de grupo por segmento. Cada directiva establece la etiqueta VLAN, el límite de ancho de banda y las reglas de firewall de Capa 3 y Capa 7 para ese segmento.

A continuación, abra la configuración de control de acceso para el SSID de su dispositivo. Meraki ofrece dos modos de Identity PSK:

• Identity PSK sin RADIUS. Introduce las claves directamente en el SSID y asocia cada clave a una directiva de grupo. No hay vinculación por MAC disponible, por lo que cualquier dispositivo que conozca una clave obtiene la política de esa clave.
• Identity PSK con RADIUS. El punto de acceso envía la dirección MAC del dispositivo a su servidor RADIUS. El servidor devuelve la frase de contraseña y la directiva de grupo para esa dirección MAC. Una clave solo funciona para el dispositivo al que fue emitida.

Para cajas registradoras y cualquier dispositivo en el segmento de pagos, utilice el modo RADIUS. Las páginas de documentación de Cisco "IPSK sin RADIUS" e "IPSK con autenticación RADIUS" ofrecen los pasos exactos para cada modo.

Paso 3: Juniper Mist y Multi PSK

En el portal de Juniper Mist, configure la WLAN de su dispositivo para usar múltiples frases de contraseña. Mist le ofrece tres fuentes de claves: claves almacenadas localmente en la WLAN, Cloud PSK mantenidas a nivel de organización o claves devueltas por un servidor RADIUS.

Para una red de tiendas, Cloud PSK es la opción nativa. Cada Cloud PSK lleva su propia VLAN, rol y fecha de caducidad. Configure los dispositivos de la tienda como de uso único, lo que vincula la clave a la primera dirección MAC que se conecte con ella. A continuación, utilice el rol de cada clave en sus políticas WxLAN para controlar a qué puede acceder ese segmento. Aplique límites de velocidad para restringir el ancho de banda de la señalización y los escáneres. La documentación de Multi PSK de Juniper cubre detalladamente las opciones de WLAN y los campos de Cloud PSK.

Paso 4: Purple Access como un único registro de claves entre distintos fabricantes

La mayoría de las redes comerciales utilizan hardware de más de un fabricante tras sufrir adquisiciones y remodelaciones. Purple Access ejecuta la red xPSK como RADIUS en la nube, por lo que un solo registro de claves sirve para todas las tiendas. Los SSID de Meraki apuntan Identity PSK con RADIUS hacia Purple. Las WLAN de Mist utilizan RADIUS como fuente de claves. Purple devuelve la clave, la VLAN y la política por dispositivo para cada dirección MAC.

El mismo modelo funciona en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Mantendrá sus puntos de acceso y conmutadores. El artículo de soporte de Purple para su fabricante enumera los ajustes exactos de RADIUS.

Lista de comprobación para el despliegue en tiendas

1. Elija una tienda piloto que contenga todas las clases de dispositivos con las que opera.
2. Exporte el inventario de dispositivos de esa tienda, con una dirección MAC verificada para cada dispositivo.
3. Configure como trunk la VLAN de cada segmento hacia cada puerto de enlace ascendente de AP antes del día de la transición.
4. Cree las políticas de segmento: políticas de grupo en Meraki, roles y políticas WxLAN en Mist.
5. Cree una clave por dispositivo y regístrela en el registro de claves.
6. Envíe una configuración de MAC fija para el SSID de dispositivos a los escáneres Android mediante MDM.
7. Emita el SSID de dispositivos junto con el SSID del personal existente.
8. Migre los dispositivos clase por clase: primero la señalización, luego impresoras y escáneres, y finalmente las cajas registradoras fuera del horario comercial.
9. Ejecute todas las pruebas de la siguiente sección antes de pasar a la siguiente clase.
10. Cambie la antigua contraseña compartida del personal por última vez, para que ningún dispositivo pueda recurrir a ella.
11. Redacte el procedimiento de revocación: dispositivo perdido, clave revocada y emisión de un reemplazo con una nueva clave.
12. Realice el despliegue por oleadas de tiendas, reutilizando las políticas piloto y guardando los resultados de las pruebas como evidencia.

¿Cómo verificar que PPSK funciona en cada tienda?

Pruebe cada clase de dispositivo, no solo un dispositivo. Una prueba superada en un escáner no garantiza nada sobre una impresora en una VLAN diferente.

• Segmento correcto. Revise la lista de clientes en Meraki Dashboard o en los paneles de clientes de Mist. Cada dispositivo debe mostrar la VLAN esperada y una dirección IP de la subred de ese segmento.
• Aislamiento. Desde un dispositivo de prueba en el segmento de señalización, intente acceder al servidor de cajas y al grabador de vídeo. Intentar ambas conexiones debe fallar.
• Vinculación MAC. Introduzca la clave de un escáner en un teléfono de prueba. El teléfono debe ser rechazado.
• Revocación. Revoque una clave de prueba y confirme que el dispositivo no pueda volver a conectarse. Si la sesión existente persiste, desconecte al cliente desde la consola. Todos los demás dispositivos de la tienda deben permanecer conectados.
• Ancho de banda. Ejecute una prueba de rendimiento desde un reproductor de señalización y confirme que se respeta el límite. Nuestra guía sobre Bandwidth Usage Measurement: Methods, KPIs and Setup cubre el método.
• Roaming. Desplace un escáner desde el almacén hasta el extremo opuesto de la tienda. La aplicación de escaneo debe permanecer conectada.

Guarde los resultados. Su registro de claves, políticas de segmento, registros de revocación y resultados de pruebas de aislamiento proporcionan evidencia para PCI-DSS v4.0. El requisito 1 cubre los controles de seguridad de red entre segmentos. El requisito 2.3 cubre los entornos inalámbricos, incluida la modificación de las claves predeterminadas. Las comprobaciones de puntos de acceso no autorizados según el requisito 11.2.1 siguen siendo una tarea independiente.

¿Qué suele fallar con PPSK y cómo se soluciona?

Síntoma	Causa probable	Solución
El dispositivo se asocia pero no obtiene dirección IP	La VLAN del segmento no está configurada como trunk en el puerto del switch del AP	Etiquete la VLAN de cada segmento en todos los puertos de enlace ascendente del AP
Escáner rechazado tras una actualización del sistema operativo	Aleatorización de MAC activada; Android 10 y posteriores la activan por defecto por red	Configure el perfil de SSID del dispositivo para usar la MAC real del dispositivo mediante MDM
Una clave funciona en dos dispositivos	Clave no vinculada a una dirección MAC (Meraki sin RADIUS, uso múltiple en Mist)	Cambie a Identity PSK con RADIUS o a claves de uso único en Mist
Una impresora antigua no puede conectarse	El dispositivo solo admite 2,4 GHz y WPA2-Personal	Mantenga habilitados 2,4 GHz y WPA2-Personal en el SSID del dispositivo
El escáner se desconecta entre pasillos	El roaming rápido 802.11r es incompatible con un cliente heredado	Pruebe con la transición rápida desactivada en el SSID del dispositivo
Las TPV se ralentizan durante el envío de contenidos de señalización	La política de señalización no tiene límite de ancho de banda	Aplique un límite por dispositivo al segmento de señalización
Un dispositivo perdido sigue en línea tras eliminar la clave	La sesión existente persiste hasta la reautenticación	Desconecte al cliente en la consola tras revocar la clave

Hay dos problemas que merecen algo más que una fila en una tabla.

El primero es la clave que acaba convirtiéndose en una segunda contraseña compartida. Un técnico escribe la clave de un escáner en una pegatina y terminan usándola seis dispositivos. La vinculación MAC evita esto. Sin vinculación, una clave por dispositivo solo es una clave por dispositivo por pura convención.

El segundo es WPA3. Muchas implementaciones de claves por dispositivo dependen de WPA2-Personal, y muchas TPV e impresoras no admiten nada más reciente. Consulte la documentación de Cisco Meraki y Juniper Mist sobre la compatibilidad con WPA3 en su firmware antes de diseñar su arquitectura en función de él.

Dos escenarios prácticos: una cadena de moda y un estadio

Sector minorista: una cadena de moda de 150 tiendas con Cisco Meraki

Situación. Imagine una cadena de 150 tiendas con seis TPV, ocho escáneres, dos impresoras y cuatro reproductores de señalización por tienda. Los 20 dispositivos comparten el SSID del personal y una sola contraseña. Eso suma 3000 dispositivos con la misma clave en toda la red de tiendas. El requisito 2.3.2 de PCI-DSS exige cambiar las claves inalámbricas cuando dimite alguien que las conoce. Como todos los encargados de tienda conocen esta contraseña, la salida de cualquier encargado debería exigir cambiar las claves de 3000 dispositivos. En la práctica, esto nunca ocurre.

Lo que se hizo. La cadena añade un SSID de dispositivo utilizando Identity PSK con RADIUS, con Purple Access manteniendo el registro de claves. Cuatro políticas de grupo separan los pagos, las operaciones de la tienda, la señalización y las impresoras. El MDM envía las claves a los escáneres, por lo que el personal de la tienda nunca ve la clave de un dispositivo.

Resultado. Si roban un escáner, ahora solo hay que revocar una clave y ningún otro dispositivo se ve afectado, en lugar de los 20 de esa tienda. La marcha de un gerente ya no provoca una rotación, porque los gerentes nunca tienen las claves de los dispositivos. El segmento de pagos se reduce de 20 dispositivos por tienda en una red plana a seis cajas registradoras. La orientación del PCI SSC señala que la segmentación puede reducir los sistemas incluidos en el alcance, sujeto a la validación de su evaluador.

Eventos: un estadio con Juniper Mist

Situación. Imagine un estadio con 40 cajas registradoras de concesión permanentes y 120 pantallas de señalización. Un contratista de venta de entradas lleva 25 escáneres portátiles a cada evento. Al contratista siempre se le ha facilitado la contraseña del personal, y esta nunca ha cambiado.

Lo que se hizo. El estadio se traslada a las PSK en la nube de Mist. Las cajas registradoras obtienen claves de un solo uso en la VLAN de pagos. Las claves de señalización llevan un rol con límite de velocidad. En cada evento, los 25 escáneres del contratista reciben claves de un solo uso en su propia VLAN, con caducidad configurada para el final del día del evento.

Resultado. Las 25 claves del contratista caducan automáticamente después de cada evento, sin necesidad de revocar nada manualmente. Los dispositivos del contratista nunca tienen una clave que alcance el segmento de las cajas registradoras. Los límites en la señalización garantizan que el envío de contenidos no ralentice los pagos en las concesiones durante el descanso.

¿Cuánto cuesta PPSK y qué se obtiene a cambio?

PPSK no requiere hardware nuevo. El coste se divide en cuatro áreas:

• Tiempo de diseño. Creación del inventario, definición de segmentos y redacción de reglas de firewall.
• Cambios en los switches. Trunking de las VLAN de segmento a cada AP, lo que suele ser un envío mediante plantilla.
• Visitas a tiendas para dispositivos no gestionados. Las impresoras y cámaras sin MDM requieren un cambio local.
• Un servicio de claves para vinculación MAC. En Meraki, eso significa un servicio RADIUS como Purple Access. Compruebe sus niveles de licencia de Meraki y Mist con su distribuidor.

El beneficio se ve más fácilmente con números. En la cadena de moda anterior, rotar una clave compartida implica intervenir en 3.000 dispositivos. Asumiendo cinco minutos por dispositivo, una rotación cuesta 250 horas de tiempo de tienda y de TI. Con PPSK, el mismo evento cuesta un solo cambio de clave. El mayor beneficio es la contención: la pérdida de un escáner expone el segmento de un solo dispositivo, no la red de pagos.

Purple opera en más de 80.000 recintos en activo y gestionó 440 millones de inicios de sesión en 2024 (datos propios de Purple). Purple cuenta con la certificación ISO 27001. El marketing para invitados en la red abierta se realiza en Engage. El filtrado DNS para cualquier segmento es Shield, un complemento independiente. Para las redes abiertas y seguras, consulte nuestras guías de Access.

Preguntas frecuentes

¿Necesitamos nuevos puntos de acceso para ejecutar PPSK en nuestras tiendas?

No. PPSK se ejecuta en los puntos de acceso que ya posee. Los puntos de acceso Cisco Meraki MR lo admiten como Identity PSK y los puntos de acceso Juniper Mist lo admiten como Multi PSK. Purple Access es independiente del hardware y se superpone sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet como una capa en la nube. Usted cambia la configuración de SSID, los trunks VLAN y las políticas, no el hardware.

¿Cumplirá PPSK con las exigencias de nuestro evaluador PCI DSS?

PPSK le proporciona pruebas para PCI DSS, no una aprobación automática por sí solo. Las claves por dispositivo respaldan el requisito 2.3.2, que exige cambiar las claves inalámbricas cuando alguien que las conoce se marcha o cuando una clave se ve comprometida. Trasladar las cajas registradoras a su propia VLAN respalda el requisito 1 y puede reducir los sistemas dentro del alcance. Su Evaluador de Seguridad Cualificado (QSA) decide qué es válido, así que exporte su registro de claves, políticas y resultados de pruebas para él.

¿Deben los dispositivos de tienda utilizar PPSK o certificados 802.1X?

Utilice certificados siempre que un dispositivo pueda inscribirse y renovar uno, y PPSK para todo lo demás. IEEE 802.1X con EAP-TLS sigue siendo la opción predeterminada para portátiles y teléfonos del personal bajo MDM. La mayoría de las cajas registradoras, impresoras, pantallas de señalización y cámaras no pueden inscribir certificados a escala, y muchas solo admiten WPA2-Personal. PPSK otorga a esos dispositivos identidad por dispositivo, VLAN y revocación sin tener que modificar el propio dispositivo.

¿Podemos migrar los dispositivos de una contraseña compartida de personal sin visitar cada tienda?

Sí, para los dispositivos que gestiona mediante MDM. Envíe el nuevo SSID del dispositivo, su clave por dispositivo y una configuración de MAC fija como un único perfil. A continuación, confirme que cada dispositivo se ubica en la VLAN correcta. Los dispositivos sin MDM, como muchas impresoras y cámaras, requieren un cambio local o la herramienta de configuración del proveedor. Planifique estas acciones dentro de las visitas a las tiendas existentes y mantenga activo el SSID antiguo hasta que se migre el último dispositivo.

¿Qué ocurre si un escáner aleatoriza su dirección MAC?

Una clave vinculada a MAC lo rechazará, por lo que debe desactivar la aleatorización para el SSID del dispositivo. Android 10 y versiones posteriores utilizan una MAC aleatoria por red de forma predeterminada, y la mayoría de los escáneres robustos ejecutan Android. Configure el perfil de WiFi para utilizar la MAC del dispositivo a través de su MDM. La aleatorización protege la privacidad de las personas en redes públicas. No aporta nada para una caja registradora o un escáner gestionado que se conecta a su propia red.

¿Cubre también Purple Access el WiFi para clientes y el filtrado de contenidos?

Sí, en redes independientes gestionadas desde una sola plataforma. Los clientes se conectan a la red abierta a través de un Captive Portal, con las suscripciones de marketing y de elección consciente gestionadas en Engage. El personal se conecta a la red segura con certificados o mediante el inicio de sesión con Microsoft Entra ID, Okta o Google Workspace. El filtrado DNS es Shield, un complemento independiente. Los dispositivos permanecen en xPSK, por lo que una caja registradora nunca comparte red con el teléfono de un cliente.

¿Cuánto esfuerzo requiere un despliegue de PPSK en una red de tiendas?

Tenga en cuenta que la mayor parte del trabajo se realiza antes de crear la primera clave. Elaborar el inventario de dispositivos con sus direcciones MAC lleva más tiempo que la configuración en la consola. Lo mismo ocurre al acordar las segmentaciones con los responsables de pagos y CCTV, y al configurar los enlaces troncales de las VLAN en cada punto de acceso. Una vez que la primera tienda piloto supera todas las pruebas, las siguientes tiendas reutilizan las mismas directivas y plantillas de claves. Los dispositivos gestionados mediante MDM se migran de forma remota, mientras que las impresoras y cámaras no gestionadas marcan el ritmo de cada fase.