Passpoint vs. portal cautivo: cuándo usar cada inicio de sesión

{{asset:header_image.png}}

Elija un portal cautivo si necesita términos, consentimiento y datos propios de visitantes con los que coincide una sola vez. Elija Passpoint si las mismas personas regresan y deben conectarse automáticamente a través de IEEE 802.1X, el estándar para acceso autenticado y cifrado. La mayoría de las propiedades multisitio necesitan ambos, y Purple Access los ejecuta al mismo tiempo en una sola plataforma.

¿Passpoint o portal cautivo: cuál es la respuesta corta?

La elección se reduce a una pregunta: ¿ya sabe quién es esta persona? Si cuentan con una identidad antes de llegar, Passpoint es la mejor opción. Esa identidad podría ser una de las siguientes:

• una cuenta de empleado en Microsoft Entra ID
• un registro de estudiante
• una clave de residente
• una credencial de OpenRoaming en su teléfono

Si interactúa con ellos por primera vez en la puerta, un portal cautivo es la mejor opción. El portal es el único punto donde los términos y el consentimiento aparecen en pantalla.

Qué es cada uno. Passpoint es el programa de certificación para Hotspot 2.0, que se basa en la enmienda IEEE 802.11u. Un dispositivo encuentra una red Passpoint, la compara con un perfil almacenado y se autentica sin un solo toque. Un portal cautivo es una página web que mantiene a un dispositivo nuevo en un entorno restringido hasta que el visitante inicia sesión. La arquitectura de portal cautivo IETF, RFC 8952, describe cómo los dispositivos lo detectan y gestionan.

Realizan tareas distintas. Passpoint reemplaza la página de inicio de sesión para las personas en las que usted ya confía. El portal se gana la confianza de las personas que usted aún no conoce.

En Purple Access se ubican en redes independientes:

• Red abierta: el portal cautivo.
• Red segura: Passpoint.
• Red xPSK: una clave precompartida única por dispositivo o residente, para hardware que no es compatible con ninguno de los dos.

En las tres, la identidad define la VLAN (LAN virtual), el segmento de red en el que se ubica un dispositivo.

¿Qué criterios deciden entre Passpoint o un portal cautivo?

Evaluamos ambas opciones con base en ocho criterios. Cada uno corresponde a una pregunta a la que se enfrenta un director de TI después de la implementación. Utilizamos únicamente lo que respalda el material público de cada opción:

• Passpoint: el programa Passpoint y el material de WBA OpenRoaming.
• Portales cautivos: los RFC de la IETF y la documentación del portal del proveedor.

Los ocho criterios:

1. Experiencia de conexión. Cuántos toques necesita una persona en la primera visita y en cada visita posterior.
2. Seguridad inalámbrica. Si el tráfico entre el dispositivo y el punto de acceso está cifrado y de qué manera.
3. Identidad y segmentación. Cuándo reconoce la red quién se conectó y si la identidad establece la VLAN de forma automática.
4. Consentimiento y datos propios. Si el paso de conexión puede registrar la aceptación de los términos y la autorización de marketing.
5. Cobertura de dispositivos. Qué dispositivos pueden conectarse sin ayuda del equipo de TI.
6. Roaming. Si un solo inicio de sesión se mantiene a través de sus sedes y redes de socios.
7. Compatibilidad de hardware. Si los puntos de acceso que posee son compatibles actualmente.
8. Carga operativa. Lo que su equipo mantiene semana a semana.

El precio no es un criterio aquí. Ambas opciones se ejecutan como software en los puntos de acceso que ya posee, por lo que el costo es una cuestión de estructura. Cubrimos eso en su propia sección a continuación.

¿Cómo se comparan Passpoint y el captive portal?

La matriz califica cada opción según los ocho criterios. La columna de Purple Access muestra cómo ejecutamos ambas en una sola plataforma.

{"caption":"Passpoint vs. captive portal en ocho criterios","asOf":"2026-06-10","columns":[{"key":"c","label":"Criterio"},{"key":"p","label":"Captive portal (red abierta)"},{"key":"h","label":"Passpoint (red segura)"},{"key":"u","label":"Purple Access","highlight":true}],"rows":[["Experiencia de inicio","Página de inicio de sesión en la primera visita y tras el vencimiento de la sesión","Perfil instalado una sola vez, luego automático","Ambos: portal en red abierta, Passpoint en red segura"],["Seguridad inalámbrica (over-the-air)","Ninguna en red abierta simple; Enhanced Open encripta sin identidad","WPA2 o WPA3-Enterprise con 802.1X","EAP-TLS y RADIUS en la nube en la red segura"],["Identidad y VLAN","Conocida tras iniciar sesión, el rol se aplica en ese momento","Conocida antes del primer paquete; RADIUS establece la VLAN","La identidad establece la VLAN en las tres redes"],["Consentimiento y datos","Términos y consentimiento en pantalla al unirse","Sin página de inicio; términos solo a través de Release 3","Consentimientos de elección consciente; marketing de invitados en Engage"],["Cobertura de dispositivos","Cualquier dispositivo con navegador","iOS, Android, Windows y macOS actuales con un perfil","xPSK para dispositivos que no admiten ninguno"],["Roaming","Nuevo inicio de sesión en cada lugar","Un perfil en todos los sitios y más de 5 millones de puntos de acceso OpenRoaming","Agente de identidad certificado por la WBA; OpenRoaming gratuito con Connect"],["Compatibilidad de hardware","Configuración de pantalla de bienvenida en Meraki, Aruba, Ruckus, Mist, UniFi","Configuración de Hotspot 2.0 en los mismos puntos de acceso, si el firmware lo permite","Overlay en la nube independiente del hardware, sin nuevos puntos de acceso"],["Carga operativa","Páginas de portal, listas de walled garden, detalles de CNA","Certificados, perfiles y políticas RADIUS","Portal, RADIUS en la nube y EAP-TLS en una sola plataforma"]],"footnote":"Calificado a partir del material del programa Passpoint y OpenRoaming, IETF RFC 8952 y documentación del proveedor. Las cifras de Purple son datos propios de Purple.","download":{"filename":"passpoint-vs-captive-portal.csv"}}

El cifrado es la diferencia más marcada

Un SSID abierto simple envía tráfico entre el dispositivo y el punto de acceso sin cifrado. Enhanced Open agrega cifrado mediante Opportunistic Wireless Encryption (OWE, RFC 8110), pero no lleva identidad.

Passpoint requiere WPA2-Enterprise o WPA3-Enterprise. Cada sesión se autentica sobre 802.1X utilizando el Extensible Authentication Protocol (EAP). Cada sesión obtiene sus propias claves.

La identidad llega en momentos diferentes

Con un portal, la red conoce la identidad tarde. El dispositivo ya tiene una dirección IP y una sesión de navegador cuando esto sucede.

Con Passpoint, el punto de acceso realiza la verificación primero. Consulta a un servidor RADIUS antes de que el dispositivo envíe su primer paquete de datos. RADIUS es el protocolo que utilizan los puntos de acceso para consultar a un servidor de autenticación si se debe admitir un dispositivo.

Ese orden determina lo que se puede aplicar. RADIUS devuelve una VLAN al momento de la autenticación. Un estudiante, un contratista y un residente terminan en segmentos diferentes sin necesidad de un segundo paso.

{"kind":"lanes","direction":"lr","caption":"Dos rutas de inicio de sesión en los mismos puntos de acceso","alt":"Un Captive Portal mantiene el dispositivo en un jardín amurallado hasta el inicio de sesión, mientras que Passpoint se autentica a través de 802.1X antes del primer paquete de datos.","lanes":[{"id":"o","label":"Captive Portal en la red abierta"},{"id":"s","label":"Passpoint en la red segura"}],"nodes":[{"id":"o1","label":"El dispositivo se une al SSID abierto","sub":"Sin cifrado a menos que sea Enhanced Open","lane":"o","tone":"neutral"},{"id":"o2","label":"Jardín amurallado","sub":"Tráfico retenido hasta completar el portal","lane":"o","tone":"neutral"},{"id":"o3","label":"Inicio de sesión en el portal","sub":"Términos, aceptación e identidad capturados","lane":"o","tone":"brand"},{"id":"o4","label":"Acceso concedido","sub":"Rol o VLAN aplicada tras iniciar sesión","lane":"o","tone":"success"},{"id":"s1","label":"El dispositivo lee la señal beacon","sub":"Consulta ANQP para realm y consorcio de roaming","lane":"s","tone":"neutral"},{"id":"s2","label":"Coincidencia de perfil","sub":"Credencial guardada o identidad de OpenRoaming","lane":"s","tone":"neutral"},{"id":"s3","label":"802.1X a RADIUS en la nube","sub":"EAP-TLS o EAP-TTLS, cifrado desde el inicio","lane":"s","tone":"brand"},{"id":"s4","label":"La identidad establece la VLAN","sub":"Sesión WPA2 o WPA3-Enterprise","lane":"s","tone":"success"}],"edges":[{"from":"o1","to":"o2"},{"from":"o2","to":"o3"},{"from":"o3","to":"o4"},{"from":"s1","to":"s2"},{"from":"s2","to":"s3"},{"from":"s3","to":"s4"},{"from":"o3","to":"s2","label":"Incorporate a la red segura","style":"dashed"}]}

¿Dónde destaca Passpoint?

Personas que regresan todos los días

El personal, los estudiantes, los residentes y los miembros de espacios de coworking se conectan diariamente a las mismas redes. Un portal les pide iniciar sesión de nuevo cada vez que finaliza la sesión. Passpoint lo solicita una sola vez, al instalar el perfil, y nunca más.

Para un usuario, este es el acceso WiFi continuo que espera como en su casa. Para su mesa de ayuda, elimina los inicios de sesión repetidos que causan la mayoría de los tickets sobre portales.

Cifrado e identidad antes del primer paquete

Passpoint realiza la autenticación antes de que fluya cualquier dato. Utiliza métodos basados en EAP-TLS (autenticación por certificado), EAP-TTLS o tarjeta SIM. Su equipo de seguridad obtiene evidencia de quién se conectó, cuándo y en qué VLAN.

Con Purple, RADIUS en la nube valida cada credencial contra Microsoft Entra ID, Okta o Google Workspace. Al revocar la cuenta, Purple revoca el acceso a la red. Las altas, cambios de rol y bajas se convierten en políticas automatizadas en lugar de tickets. Nuestra guía de redes seguras sobre certificados, identidad y Passpoint cubre el modelo completo.

Roaming entre sitios, ciudades y redes asociadas

La comparación entre OpenRoaming y el portal es más evidente aquí. Un portal funciona en una ubicación a la vez.

OpenRoaming adopta un enfoque diferente. La Wireless Broadband Alliance (WBA) lo opera para federar redes Passpoint, de modo que una sola identidad funciona en cada hotspot miembro. Purple es un agente de identidad certificado por la WBA, y OpenRoaming es gratuito a través de la licencia Connect.

{"items":[{"value":"5 millones+","label":"Hotspots de OpenRoaming en todo el mundo"},{"value":"53,000+","label":"estudiantes utilizando roaming en Newcastle","note":"Campus, ciudad y tranvías"},{"value":"80,000+","label":"ubicaciones activas en Purple","note":"Datos propios de Purple"}]}

{"tone":"proof","title":"Newcastle: la primera red OpenRoaming a nivel ciudad en el mundo","text":"Purple opera la red OpenRoaming a nivel ciudad de Newcastle. Más de 53,000 estudiantes se desplazan con roaming entre el campus, la ciudad y los tranvías con una sola identidad."}

Si su equipo de seguridad pregunta qué puede ver una red visitada, diríjalos a ¿es seguro OpenRoaming?

Dispositivos que ocultan su dirección de hardware

iOS y Android utilizan de forma predeterminada una dirección MAC privada y aleatoria por red. Un portal que recuerda los dispositivos por la dirección MAC puede perderles el rastro y volver a solicitar datos. Passpoint autentica la credencial, no la dirección MAC, por lo que la aleatorización nunca activa un inicio de sesión repetido.

¿Dónde prevalece un Captive Portal?

Visitantes por primera vez y ocasionales

El huésped de un hotel, un comprador o un aficionado en un evento único no tienen un perfil en su teléfono. Un portal les permite conectarse desde cualquier navegador. Pedirle a ese huésped que instale primero un perfil añade fricción a una visita que tal vez nunca se repita.

Consentimiento, términos y datos de primera fuente (first-party data)

El portal es el único lugar donde un visitante lee sus términos y realiza una aceptación consciente. Ese registro sirve como prueba de consentimiento para el GDPR. También da inicio a los datos de primera fuente que utiliza su equipo de marketing.

El marketing de invitados de Purple se ejecuta en Engage. Nuestra guía de WiFi para invitados cubre ese aspecto.

Passpoint Release 3 añade un paso de aceptación de términos y condiciones, pero no la opción de suscripción de marketing. Consulte qué cambió en Passpoint Release 3.

Cualquier dispositivo con un navegador

Los portales no exigen nada al dispositivo más allá de un navegador. Passpoint requiere soporte de un sistema operativo actualizado y un perfil. Los teléfonos más antiguos, las laptops de visitantes y las tabletas compartidas a menudo caen en esa brecha.

La detección del portal ahora está estandarizada. RFC 8910 permite que la red anuncie el portal a través de DHCP. RFC 8908 define una API que informa el estado del portal. Ambos reducen los fallos del asistente de red cautiva (CNA) que generan tickets de soporte.

Incorporación a la red segura

La red abierta es también donde se incorporan los dispositivos personales a la red segura. Un estudiante inicia sesión una vez a través del portal y recibe las credenciales. A partir de ese momento, se une a la red 802.1X. Utilizado de esta manera, el portal es la puerta de entrada a Passpoint, no su rival.

{"tone":"warning","title":"Eliminar el portal elimina la suscripción opcional","text":"Passpoint no tiene página al momento de conectarse, por lo que no puede recopilar una suscripción opcional de marketing. Si cambia un SSID de invitados a solo Passpoint, dejará de recibir nuevos datos de primera parte."}

¿Cuánto cuesta operar cada opción?

Ninguna de las dos opciones requiere nuevos puntos de acceso. El costo reside en las licencias, la identidad y el tiempo del personal. Aquí describimos la estructura, no los montos.

{"caption":"Lo que cuesta operar cada inicio de sesión: rubros de costo, no montos","asOf":"2026-06-10","columns":[{"key":"c","label":"Rubro de costo"},{"key":"p","label":"Captive Portal"},{"key":"h","label":"Passpoint"},{"key":"u","label":"En Purple Access","highlight":true}],"rows":[["Licencia de software","Licencia de la plataforma del portal","RADIUS en la nube, certificados y herramientas de perfiles","Plan de Connect, Capture o Engage"],["Hardware","Ninguno nuevo en los puntos de acceso existentes","Ninguno nuevo; actualización de firmware si falta Hotspot 2.0","Superposición en la nube independiente del hardware"],["Federación","No forma parte del flujo del portal","OpenRoaming opcional a través de un agente de identidad de la WBA","OpenRoaming gratis a través de Connect"],["Identidad","Inicio de sesión mediante redes sociales, correo o formulario","Un directorio del que ya cuenta con licencia","Microsoft Entra ID, Okta, Google Workspace"],["Mantenimiento de contenido","Diseño de página, texto de términos, listas de jardín amurallado","Plantillas de perfil y directivas de RADIUS","Ambos funcionan en una sola plataforma"],["Trabajo de ciclo de vida","Temporizadores de sesión e inicios de sesión repetidos","Emisión, renovación y revocación de certificados","Revocación vinculada a la cuenta de directorio"]],"footnote":"Solo estructura de costos. Solicite a cada proveedor los montos correspondientes a su sitio y cantidad de dispositivos."}

En Purple, el licenciamiento funciona por plan: Connect, Capture y Engage. OpenRoaming se incluye de forma gratuita a través de la licencia de Connect, por lo que la federación no es un rubro independiente. Los proveedores de identidad suelen ser licencias que ya posee. Passpoint para personal y estudiantes reutiliza directorios por los que ya paga.

Los costos ocultos varían:

• Portals cuestan mantenimiento de contenido y soporte para inicios de sesión repetidos.
• Passpoint cuesta trabajo en el ciclo de vida de los certificados: emisión al ingresar, actualización al cambiar de puesto y revocación al egresar.

Vincule ese ciclo de vida al directorio y funcionará como una directiva, no como trabajo manual.

¿Qué implica migrar de un Captive Portal a Passpoint?

La migración es aditiva. Conserva el SSID del portal y agrega una red segura junto a él. No hay reemplazo total ni fin de semana de transición.

1. Verifique el firmware para Hotspot 2.0. Confirme el soporte en el panel de Cisco Meraki, HPE Aruba Central, Ruckus SmartZone, Juniper Mist o en la aplicación Ubiquiti UniFi Network. Cada proveedor documenta Hotspot 2.0 por versión de firmware.
2. Elija una fuente de identidad por audiencia. Utilice Microsoft Entra ID, Okta o Google Workspace para el personal y los estudiantes. Utilice OpenRoaming para los visitantes que cuenten con una identidad de otro lugar.
3. Habilite RADIUS en la nube y certificados. Utilice EAP-TLS para dispositivos administrados y registrados. Escriba la directiva de RADIUS que asigna cada identidad a su VLAN.
4. Publica la red Passpoint. Configura el dominio Network Access Identifier (NAI), el consorcio de roaming y el dominio en el SSID. Toma los valores de tu proveedor RADIUS en lugar de adivinarlos.
5. Distribuye perfiles. Usa la gestión de dispositivos móviles (MDM) para dispositivos administrados y la red abierta para dispositivos personales. OpenRoaming cubre a todos los demás.
6. Mide el cambio. Compara las sesiones en Passpoint contra las sesiones en el portal en cada sitio. Luego ajusta los temporizadores de sesión del portal.

{"tone":"tip","title":"Ejecuta ambos SSID a la vez","text":"Agrega la red Passpoint junto al SSID del portal existente en lugar de reemplazarlo. Los dispositivos sin un perfil conservan el portal; los dispositivos con uno se migran por sí solos."}

Dos guías profundizan en estos pasos:

• Cómo convertirse en un proveedor de red de acceso OpenRoaming, para aceptar las identidades OpenRoaming de los visitantes en tus sitios.
• Comparación del soporte de dispositivos Passpoint, para saber cómo iOS, Android, Windows y macOS manejan los perfiles.

¿Cómo deberías decidir?

Esta es la regla de decisión. Usa el portal cuando la relación comience en la puerta. Usa Passpoint cuando haya comenzado antes de que el visitante llegara. Aplica la regla por audiencia, no por propiedad.

{"title":"Passpoint o Captive Portal: cuál se adapta a cada audiencia","options":[{"name":"Captive Portal","fitsWhen":["Te encuentras con la mayoría de los visitantes una sola vez","Necesitas términos y la aceptación de marketing al momento de conectarse","Los visitantes traen dispositivos que no puedes aprovisionar con anticipación"],"notWhen":["El mismo personal, estudiantes o residentes se conectan a diario","Tu política requiere cifrado en cada conexión"]},{"name":"Passpoint","fitsWhen":["Las personas regresan y ya cuentan con una identidad","Necesitas cifrado e identidad antes del primer paquete","Deseas un solo inicio de sesión en varios sitios y socios de OpenRoaming"],"notWhen":["Tu objetivo principal son los datos de primera fuente de visitantes por primera vez","Los dispositivos no pueden almacenar un perfil"]},{"name":"Ambos en Purple Access","fitsWhen":["Tu propiedad combina invitados, personal, estudiantes y residentes","Deseas que la red abierta incorpore dispositivos a la red segura"],"notWhen":["Todos los dispositivos en el sitio son administrados y propiedad del personal"]}],"recommendation":"Conserva el portal donde conozcas a las personas por primera vez y migra a Passpoint a todos los que ya conoces."}

Tu siguiente paso es listar tus audiencias sitio por sitio: invitados, personal, estudiantes, residentes, miembros y contratistas. Marca cuáles ya cuentan con una identidad. Esos grupos se migran a Passpoint y el resto conserva el portal. Luego consulta cómo funcionan Passpoint y OpenRoaming en Purple Access.

Preguntas frecuentes

¿Es Passpoint más seguro que un Captive Portal?

Sí, de forma inalámbrica. Passpoint requiere WPA2-Enterprise o WPA3-Enterprise con 802.1X, por lo que cada sesión se autentica y encripta antes de que fluyan los datos. Un SSID abierto común con un portal no encripta nada entre el dispositivo y el punto de acceso. Enhanced Open añade encriptación, pero no identidad. Un portal sigue ofreciendo evidencia del consentimiento, lo cual no puede hacer Passpoint. Para obtener información específica sobre OpenRoaming, lea ¿es seguro OpenRoaming?

¿Funciona Passpoint en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist y Ubiquiti UniFi?

Sí. Cada uno de los cinco documenta la configuración de Hotspot 2.0 en el SSID, sujeto a la versión del controlador y del firmware. Purple añade RADIUS en la nube e identidad como una superposición en la nube independiente del hardware, por lo que no necesita nuevos puntos de acceso. Consulte las notas del firmware de cada proveedor para Hotspot 2.0 antes de publicar la red. Actualice primero las ubicaciones que ejecuten versiones anteriores.

¿Puedo recopilar el consentimiento de marketing con Passpoint?

No. Passpoint no tiene una página al momento de conectarse, por lo que no puede presentar una opción de inclusión para marketing. La versión 3 añade la aceptación de términos, no el consentimiento de marketing. Mantenga un portal cautivo en la red abierta para los visitantes por primera vez, donde las opciones de inclusión por elección consciente generan datos propios. El marketing para invitados de Purple se ejecuta en Engage. Los visitantes que regresen pueden migrar a Passpoint, y usted conserva los registros de consentimiento que ya tiene.

¿Cuánto cuesta OpenRoaming con Purple?

OpenRoaming es gratuito a través de la licencia Connect de Purple. No tiene que presupuestar una línea de federación independiente. Purple es un agente de identidad certificado por la WBA, por lo que sus sitios se unen a una federación de más de 5 millones de hotspots en todo el mundo a través de su contrato con Purple. Su elección de plan (Connect, Capture o Engage) establece el resto del costo. OpenRoaming no lo hace.

¿Puedo ejecutar Passpoint y un portal cautivo en los mismos puntos de acceso?

Sí. Se ejecutan como SSID independientes en las mismas radios: una red abierta con el portal y una red segura con Hotspot 2.0 habilitado. Purple ejecuta redes abiertas, seguras y de xPSK en una sola plataforma, y la identidad establece la VLAN en cada una. Mantenga bajo el recuento de SSID. Cada SSID adicional añade una carga de señal de baliza (beacon overhead) en cada radio.

¿Cuánto esfuerzo requiere migrar de un portal cautivo a Passpoint?

Menos que un proyecto de hardware, porque no reemplaza nada. El trabajo consiste en la identidad y la directiva. Usted elige un directorio por audiencia, configura certificados y RADIUS en la nube, habilita Hotspot 2.0 y distribuye perfiles. El portal permanece activo durante todo el proceso, por lo que no hay una transición drástica. La mayor parte del esfuerzo se centra en la distribución de perfiles, lo cual depende de cuántos dispositivos administre mediante MDM.

¿Un portal cautivo ofrece evidencia de auditoría para GDPR?

Ofrece evidencia del consentimiento, siempre que la opción de inclusión sea una elección consciente y usted la registre. El portal muestra los términos y captura la aceptación al momento de conectarse. Purple cuenta con las certificaciones ISO 27001 y Cyber Essentials, lo que respalda su evaluación de proveedores. Passpoint ofrece un tipo de evidencia diferente: una identidad autenticada y VLAN para cada sesión.

¿Qué dispositivos admiten Passpoint?

Las versiones actuales de iOS, Android, Windows y macOS admiten Passpoint, pero cada una instala y gestiona los perfiles de forma diferente. Los teléfonos más antiguos y los dispositivos sin interfaz de usuario a menudo carecen de soporte o no tienen forma de instalar un perfil. xPSK se adapta a esos casos, proporcionando a cada dispositivo o residente su propia clave en una red segmentada. Para obtener detalles sobre las plataformas, lea Comparativa de compatibilidad de dispositivos con Passpoint.