Comparativa de perfiles de certificados de MDM para WiFi: Intune, Jamf Pro, JumpCloud, Kandji, Hexnode, Iru y Addigy

{{asset:header_image.png}}

Cada MDM aquí puede implementar un perfil de certificado de WiFi EAP-TLS, creado a partir de un certificado SCEP o PKCS más una carga útil de WiFi. Microsoft Intune y Hexnode cubren Windows, Apple y Android. Jamf Pro, Kandji (ahora Iru) y Addigy cubren dispositivos Apple. JumpCloud emite sus propios certificados. El RADIUS en la nube de Purple valida el resultado. Valores al 10 de junio de 2026.

¿Cómo leo esta referencia de perfiles de certificado de WiFi para MDM?

Esta referencia cubre una tarea: colocar un certificado de cliente y un perfil de WiFi coincidente en los dispositivos gestionados. Esos dispositivos se unen a su red segura con EAP-TLS, en los puntos de acceso que usted ya opera.

Cada fila en la matriz principal es un MDM. Cada columna responde a una pregunta que usted se haría antes de elaborar una lista corta. La columna Fuente nombra la documentación del proveedor o el estándar detrás de cada celda. En los casos donde no encontramos documentación para un valor, omitimos el valor en lugar de adivinarlo.

Los términos en las columnas

• EAP-TLS (Protocolo de Autenticación Extensible con Seguridad en la Capa de Transporte, RFC 5216): el dispositivo prueba su identidad con un certificado, no con una contraseña.
• IEEE 802.1X: el estándar de control de acceso basado en puertos que sus puntos de acceso aplican en un SSID de WPA2-Enterprise o WPA3-Enterprise.
• RADIUS: el servidor que verifica cada solicitud 802.1X. Devuelve una aceptación o rechazo, además de atributos como una VLAN.
• VLAN (LAN virtual): el segmento de red en el que se ubica un dispositivo después de la autenticación.
• SCEP (Protocolo de Inscripción Simple de Certificados, RFC 8894): el dispositivo genera su propia clave y solicita un certificado a su autoridad de certificación (CA).
• PKCS #12: un paquete que contiene un certificado y su clave privada, generado fuera del dispositivo.
• Nombres de servidor y raíz de confianza: la configuración que indica a un dispositivo qué certificado de servidor RADIUS aceptar.

Dónde se ubica el perfil

Purple Access opera tres redes en una sola plataforma. La red abierta gestiona el inicio de sesión mediante portal cautivo y la incorporación de dispositivos propios (BYOD). La red segura gestiona EAP-TLS, el inicio de sesión mediante proveedor de identidad, Passpoint y el RADIUS en la nube. La red xPSK le otorga a cada dispositivo o residente su propia clave precompartida. En las tres redes, la identidad define la VLAN.

Cada perfil en esta referencia se ubica en la red segura. Su MDM entrega el certificado y el perfil. El RADIUS en la nube de Purple valida el certificado y lee la identidad que contiene. El SSID permanece en sus puntos de acceso actuales, por lo que no necesita hardware nuevo.

{"kind":"flow","direction":"lr","caption":"Cómo llega un perfil de certificado MDM a la red segura","alt":"Flujo desde la consola MDM y la autoridad de certificación hasta el dispositivo administrado, el punto de acceso, Purple cloud RADIUS y la asignación de VLAN.","nodes":[{"id":"a","label":"Consola MDM","sub":"Intune, Jamf Pro, JumpCloud, Kandji (ahora Iru), Hexnode, Addigy","tone":"neutral"},{"id":"b","label":"Autoridad de certificación","sub":"Emite el certificado de cliente mediante SCEP o PKCS #12","tone":"neutral"},{"id":"c","label":"Dispositivo administrado","sub":"Contiene el certificado, la raíz de confianza y el perfil de WiFi","tone":"neutral"},{"id":"d","label":"Punto de acceso","sub":"Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi","tone":"neutral"},{"id":"e","label":"Purple cloud RADIUS","sub":"Valida EAP-TLS y lee la identidad","tone":"brand"},{"id":"f","label":"Asignación de VLAN","sub":"La identidad establece la VLAN en la red segura","tone":"success"}],"edges":[{"from":"a","to":"b","label":"desafío o conector"},{"from":"b","to":"c","label":"certificado"},{"from":"a","to":"c","label":"perfil de WiFi","style":"dashed"},{"from":"c","to":"d","label":"802.1X"},{"from":"d","to":"e","label":"RADIUS"},{"from":"e","to":"f","label":"acceso aceptado"}]}

La fecha de actualización

Cada tabla incluye una fecha asOf. Esta edición es del 10 de junio de 2026. Las consolas MDM cambian entre versiones, por lo que debe tomar cualquier celda más antigua que su fecha asOf como una indicación para consultar la documentación enlazada.

{"tone":"note","title":"Alcance","text":"Esta página compara lo que cada MDM documenta para los perfiles de certificado de WiFi. El precio, la aplicación de parches y la gestión de aplicaciones están fuera del alcance."}

¿Qué perfiles de certificado de WiFi admite cada MDM?

La matriz responde a cuatro preguntas por MDM. ¿Qué plataformas aceptan un perfil de certificado de WiFi? ¿Cómo llega el certificado? ¿Qué rutas de CA documenta el proveedor? ¿Cómo apunta el perfil de WiFi al certificado?

{"caption":"Comparación de perfiles de certificados WiFi para MDM","asOf":"2026-06-10","columns":[{"key":"mdm","label":"MDM"},{"key":"plat","label":"Plataformas de perfiles WiFi"},{"key":"cert","label":"Entrega de certificados"},{"key":"ca","label":"Rutas de CA documentadas"},{"key":"eap","label":"Enlace EAP-TLS"},{"key":"src","label":"Fuente"}],"rows":[["Microsoft Intune","Windows, macOS, iOS, iPadOS, Android Enterprise","Perfiles de certificado SCEP, PKCS y de confianza","AD CS a través de Certificate Connector, Microsoft Cloud PKI, CAs de socios","El perfil WiFi selecciona el perfil SCEP o PKCS","Microsoft Learn: certificados en Intune"],["Jamf Pro","macOS, iOS, iPadOS","Payloads de certificado (PKCS #12) y SCEP","CA integrada, AD CS Connector, DigiCert, Venafi, proxy SCEP","El payload WiFi selecciona el certificado de identidad","Documentación de Jamf Pro: certificados PKI"],["JumpCloud","macOS, Windows, iOS","Certificados emitidos por JumpCloud; perfiles personalizados de Apple","JumpCloud CA para JumpCloud RADIUS; SCEP externo mediante perfil personalizado","Autenticación basada en certificados para RADIUS","Soporte de JumpCloud: autenticación basada en certificados para RADIUS"],["Kandji (ahora Iru)","macOS, iOS, iPadOS, tvOS","Elementos de librería de certificado, SCEP y AD CS","AD CS a través de Kandji AD CS Connector; cualquier servidor SCEP","El elemento de librería WiFi selecciona el certificado de identidad","Soporte de Kandji: elementos de librería"],["Hexnode","Windows, macOS, iOS, iPadOS, Android","Políticas de certificado y SCEP","Cualquier servidor SCEP, como AD CS con NDES; carga de PKCS #12","La política WiFi hace referencia al certificado","Centro de ayuda de Hexnode: políticas de WiFi y SCEP"],["Addigy","macOS, iOS, iPadOS","Payloads MDM de certificado y SCEP","Cualquier servidor SCEP; carga de PKCS #12","El payload WiFi hace referencia al certificado de identidad","Soporte de Addigy: configuraciones MDM"]],"footnote":"Las plataformas son las que cada proveedor documenta para perfiles de certificado WiFi en la fecha asOf. Consulte las notas de lanzamiento para ver plataformas más recientes.","download":{"filename":"mdm-wifi-certificate-profiles.csv"}}

Tres patrones destacan. Intune y Hexnode documentan perfiles de certificado WiFi en Windows, Apple y Android. Jamf Pro, Kandji (ahora Iru) y Addigy se basan en los payloads de Apple, por lo que sus opciones EAP coinciden y sus integraciones de CA difieren. JumpCloud vincula sus certificados con su propio servicio RADIUS, lo que cambia la forma en que lo conecta a Purple.

¿Qué notas cambian una celda en la matriz?

Kandji e Iru son el mismo producto

Kandji anunció su cambio de marca a Iru en 2025. Una fila cubre ambos nombres, porque los elementos de librería de WiFi, Certificate, SCEP y AD CS son el mismo producto. Los artículos de soporte anteriores aún utilizan el nombre Kandji.

Intune necesita una ruta de CA antes de que el perfil WiFi funcione

Intune emite certificados por sí mismo solo si adquiere la licencia de Microsoft Cloud PKI. De lo contrario, SCEP se ejecuta a través de Network Device Enrollment Service (NDES) y el Certificate Connector de Intune en Active Directory Certificate Services (AD CS). Una CA de terceros compatible es la otra ruta. La entrega de PKCS también utiliza el Certificate Connector.

Implemente primero el perfil de certificado de confianza, luego el perfil SCEP o PKCS y, a continuación, el perfil de WiFi que hace referencia a ambos. El perfil SCEP de Intune incluye un umbral de renovación, un porcentaje de vida útil restante, con un valor predeterminado documentado del 20%. Para elegir entre una CA administrada y AD CS, lea PKI administrada o AD CS para certificados de WiFi.

Los MDM exclusivos de Apple comparten un modelo de carga útil

Jamf Pro, Kandji (ahora Iru) y Addigy configuran la carga útil de WiFi de Apple. La documentación de Apple enumera TLS, TTLS, LEAP, PEAP, EAP-FAST, EAP-SIM y EAP-AKA como tipos de EAP aceptados. Por lo tanto, la celda EAP-TLS se lee igual para los tres. La diferencia radica en la columna de la CA, donde cada proveedor documenta diferentes integraciones.

Los certificados de JumpCloud están diseñados para JumpCloud RADIUS

La autenticación basada en certificados de JumpCloud emite certificados desde una CA de JumpCloud para su propio servicio RADIUS. Para utilizar la nube de RADIUS de Purple en su lugar, confirme dos puntos con JumpCloud. Primero, ¿puede un servidor RADIUS de terceros confiar en esa CA emisora? Segundo, ¿se adapta a su flota de Apple un perfil personalizado que lleve una carga útil SCEP a su propia CA? La guía de JumpCloud y 802.1X explica ambos caminos.

La validación del servidor es una configuración independiente

Intune lo etiqueta como "Certificado raíz para la validación del servidor" y "Nombres de servidores de certificados". Las cargas útiles de Apple lo llaman certificados de confianza y nombres de servidores de confianza. Todos los MDM de la matriz lo muestran, pero ninguno lo llena por usted.

{"tone":"warning","title":"Establezca la confianza del servidor en cada perfil","text":"Si deja en blanco la raíz de confianza o los nombres de los servidores, es posible que el dispositivo solicite a la persona que lo sostiene que confíe en el servidor. Un punto de acceso no autorizado puede explotar ese aviso."}

La identidad en el certificado establece la VLAN

Un certificado de dispositivo identifica el hardware. Un certificado por persona identifica al miembro del personal que ha iniciado sesión, generalmente a través del UPN (nombre de inicio de sesión del directorio) en el subject alternative name. Las cajas registradoras compartidas y los quioscos se adaptan a los certificados de dispositivo. Las computadoras portátiles asignadas se adaptan a los certificados por persona, vinculados a grupos de Microsoft Entra ID, Okta o Google Workspace.

PEAP en Windows 11 cambia la celda de migración

Microsoft documenta que Credential Guard bloquea el inicio de sesión único con MS-CHAPv2, el método de contraseña dentro de PEAP. Windows 11 22H2 y versiones posteriores activan Credential Guard de forma predeterminada para los dispositivos calificados. Los perfiles de WiFi basados en contraseñas pueden dejar de funcionar después de una actualización, por lo que la migración a EAP-TLS se convierte en una tarea programada.

{"tone":"proof","title":"Lo que entrega el cambio","text":"McDonald's registró un 80% menos de solicitudes a la mesa de ayuda de TI con Purple. La configuración del MDM toma de cinco a 10 minutos, una sola vez, para toda la organización."}

¿Cómo se relacionan las variantes de certificados y EAP con las redes de Purple?

La matriz principal compara los MDM. Esta compara las variantes de perfil que envían, el estándar detrás de cada una y la red de Purple en la que aterriza cada una. La columna resaltada muestra el ajuste con Purple.

{"caption":"Variantes de perfiles WiFi por estándar y red de Purple","asOf":"2026-06-10","columns":[{"key":"v","label":"Variante"},{"key":"c","label":"Lo que porta el perfil"},{"key":"s","label":"Estándar"},{"key":"p","label":"Ajuste de red de Purple","highlight":true},{"key":"src","label":"Fuente"}],"rows":[["EAP-TLS, certificado de dispositivo vía SCEP","Clave generada por el dispositivo, CA raíz, SSID, nombres de servidor","IEEE 802.1X, RFC 5216, RFC 8894","Red segura; la identidad del dispositivo establece la VLAN","RFC Editor; documentación de MDM anterior"],["EAP-TLS, certificado por persona vía SCEP","Certificado vinculado a la persona que inició sesión (tipo `User` de Intune)","IEEE 802.1X, RFC 5216, RFC 8894","Red segura; el grupo de directorio establece la VLAN","Microsoft Learn: perfiles de certificado SCEP"],["EAP-TLS, entrega PKCS #12","Par de claves generado fuera del dispositivo, entregado como paquete","RFC 7292, RFC 5216","Red segura; preferir SCEP donde se ofrezca","Microsoft Learn: certificados PKCS"],["EAP-TLS, ACME con atestación","Clave vinculada al hardware solicitada en un dispositivo Apple","RFC 8555; carga útil de certificado ACME de Apple","Red segura; confirmar primero el soporte de MDM","Documentación de Apple Device Management"],["Passpoint con EAP-TLS","Certificado más dominio, dominio NAI y consorcio de roaming","Hotspot 2.0 (IEEE 802.11u)","Red segura; unión automática entre sitios","Documentación de Apple Device Management"],["PEAP-MSCHAPv2","Nombre de usuario y contraseña; sin certificado de cliente","RFC 2759 (MS-CHAPv2)","No es un perfil de certificado; migrar a EAP-TLS","Microsoft Learn: Credential Guard"],["xPSK, sin certificado","Una clave precompartida única por dispositivo o residente","WPA2-Personal o WPA3-Personal","Red xPSK; la identidad de la clave establece la VLAN","Documentación de Purple Access"]],"footnote":"El ajuste de red de Purple refleja las tres redes de Purple Access: abierta, segura y xPSK."}

Considere las dos primeras filas como predeterminadas. SCEP mantiene la clave privada en el dispositivo, por lo que lo clasificamos por encima de la entrega PKCS #12. ACME (Automatic Certificate Management Environment, RFC 8555) agrega claves vinculadas al hardware en dispositivos Apple recientes. El soporte de MDM para este varía, por lo que debe consultar con su proveedor primero. La guía de SCEP vs ACME compara ambos protocolos de inscripción.

Passpoint (Hotspot 2.0) permite que un dispositivo se una a una red reconocida de forma automática, utilizando su credencial y una coincidencia de dominio. El personal que se desplaza entre sitios deja de seleccionar un SSID en cada uno. xPSK se ubica fuera de los perfiles de certificados. Es adecuado para impresoras y sensores del Internet de las cosas (IoT) que no pueden contener un certificado.

La segmentación basada en la identidad ya opera a gran escala. JPMorgan ejecuta el WiFi del personal en Purple a lo largo de 5,000 sucursales, y Whitbread ejecuta WiFi de personal segmentado en Purple. Si solo los dispositivos que cumplen con una directiva de cumplimiento de Intune deben acceder al WiFi del personal, consulte la guía de directiva de cumplimiento de Intune para acceso a WiFi.

¿De dónde proviene cada valor?

Cada celda se remonta a una de estas fuentes primarias:

• Microsoft Intune: Microsoft Learn, certificados en Intune, además de las configuraciones de WiFi por plataforma y los artículos de Credential Guard.
• Jamf Pro: Documentación de Jamf, certificados PKI y perfiles de configuración.
• JumpCloud: Soporte de JumpCloud, autenticación basada en certificados RADIUS.
• Kandji (ahora Iru): Soporte de Kandji, elementos de la biblioteca de WiFi, SCEP y AD CS.
• Hexnode: Centro de ayuda de Hexnode, políticas de WiFi y SCEP.
• Addigy: Soporte de Addigy, configuraciones de MDM.
• Apple: Documentación de administración de dispositivos Apple para las cargas de pago de certificados WiFi, SCEP y ACME.
• Estándares: RFC 5216 (EAP-TLS), RFC 9190 (EAP-TLS 1.3), RFC 8894 (SCEP), RFC 8555 (ACME), RFC 7292 (PKCS #12), IEEE 802.1X-2020 e IEEE 802.11u.

Para obtener una visión más amplia, comience con el pilar de red segura sobre certificados, identidad y Passpoint. La perspectiva del producto se encuentra en WiFi de Purple para empleados en la red segura. Para el marco de auditoría, consulte la guía de seguridad de WiFi para empresas.

¿Cómo se mantiene esta referencia?

Volvemos a verificar cada celda con su fuente enlazada en cada edición y actualizamos la fecha asOf en ambas tablas. Una celda cambia únicamente cuando cambia la documentación del proveedor o un estándar. Si ningún documento respalda un valor, este se elimina de la tabla en lugar de conservarse de memoria.

Los cambios de marca y las incorporaciones de plataformas se registran como notas, al igual que con Kandji e Iru. Si un proveedor publica un cambio antes de nuestra próxima edición, la documentación del proveedor prevalece sobre esta página.

Preguntas frecuentes

¿Necesito nuevos puntos de acceso para usar perfiles de certificado MDM con Purple?

No. Los perfiles de certificado se ejecutan en los SSID de WPA2-Enterprise o WPA3-Enterprise que sus puntos de acceso ya admiten. Purple es independiente del hardware y se ejecuta como una superposición en la nube en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Usted orienta el SSID hacia la nube RADIUS de Purple en su consola inalámbrica. Purple opera en más de 80,000 ubicaciones en 90 países con este modelo.

¿Qué MDM se adapta a un entorno que combina Windows, Apple y Android?

Microsoft Intune o Hexnode, según las plataformas que cada uno documente para los perfiles de certificado de WiFi. Jamf Pro, Kandji (ahora Iru) y Addigy documentan dispositivos Apple, por lo que una infraestructura mixta los combina con una segunda herramienta. JumpCloud documenta macOS, Windows y iOS para la autenticación basada en certificados. El RADIUS en la nube de Purple acepta certificados de cualquiera de estos, siempre que confíe en la CA emisora.

¿Cuánto tiempo toma la configuración de MDM con Purple?

La configuración de MDM toma de cinco a 10 minutos, por única vez, para toda la organización. Esa cifra cubre el lado de la integración de Purple. El proceso de su AC toma más tiempo si aún no existe, por ejemplo, al implementar NDES o al adquirir licencias de PKI de Microsoft Cloud. Una vez que ambos estén activos, los nuevos dispositivos recibirán el certificado y el perfil de WiFi al inscribirse, sin necesidad de realizar trabajo individual por dispositivo.

¿Debo utilizar SCEP o PKCS #12 para los certificados de WiFi?

Utilice SCEP cuando su MDM y su AC lo admitan. Con SCEP, el dispositivo genera su clave privada y la clave nunca lo abandona. Con PKCS #12, el par de claves se crea en otro lugar y se entrega como un paquete, por lo que más sistemas manipulan la clave. PKCS #12 sigue siendo una opción válida para una AC sin un extremo SCEP.

¿Puedo migrar de PEAP a EAP-TLS sin un fin de semana de interrupción?

Sí. Publique un nuevo perfil de EAP-TLS, o una nueva SSID, junto con el perfil de PEAP existente. Elimine PEAP una vez que los registros de autenticación de RADIUS muestren que los dispositivos están utilizando certificados. Credential Guard de Windows 11 hace que el cambio sea urgente, ya que bloquea el inicio de sesión único con MS-CHAPv2 en los dispositivos aptos. Graduar la migración por sitio o por grupo de dispositivos mantiene estable el volumen de solicitudes al equipo de soporte durante el cambio.

¿Un perfil de certificado EAP-TLS ayuda con las auditorías de PCI DSS o ISO 27001?

Proporciona pruebas para esos controles, no una aprobación directa. Un perfil de certificado demuestra que cada dispositivo se autenticó con una credencial única a través de IEEE 802.1X, con el tráfico cifrado bajo WPA2-Enterprise o WPA3-Enterprise. Los auditores pueden vincular eso con los requisitos de autenticación y WiFi de PCI DSS v4.0, así como con el control de acceso de ISO 27001. Purple cuenta con la certificación ISO 27001 e Cyber Essentials.

¿Cuánto cuesta cada opción?

Esta referencia no incluye precios, ya que los proveedores los cambian con más frecuencia que su documentación. Considere en su presupuesto dos elementos más allá de las licencias de MDM. El primero es la AC: PKI de Microsoft Cloud es un complemento de Intune, mientras que AD CS se ejecuta en Windows Server con NDES para SCEP. El segundo es RADIUS, el cual proporciona Purple Access como un servicio en la nube.

¿Kandji e Iru necesitan diferentes perfiles de WiFi?

No. Kandji anunció su cambio de marca a Iru en 2025, y ambos nombres describen un solo producto. Sus elementos existentes en la biblioteca de WiFi, Certificados, SCEP y AD CS siguen siendo válidos, por lo que mantendrá la misma raíz de confianza, nombres de servidor y certificado de identidad. La nube RADIUS de Purple detecta el mismo certificado en ambos casos, y las reglas de VLAN que configuró permanecen vigentes.