Connexion au portail captif Android : Connectez-vous et résolvez les erreurs

Vous vous trouvez dans le hall d'un hôtel, votre téléphone indique Connecté et rien ne se charge. Aucune page de connexion, aucune erreur exploitable, juste des applications qui tournent en boucle tandis que l'icône WiFi affiche un petit avertissement. C'est la connexion au portail captif Android qui fait mal son travail, ou le réseau qui répond aux vérifications de Android d'une manière qui laisse le téléphone bloqué entre connecté et en ligne.

La solution consiste rarement à appuyer au hasard. Android suit une machine à états de détection claire. Une fois que vous savez dans quel état vous vous trouvez, vous savez sur quoi appuyer, quel paramètre modifier ou si le problème provient de l'établissement. Je commencerais par l'invite système, puis j'élargirais au navigateur, aux paramètres de confidentialité et seulement ensuite à la conception du portail elle-même.

Table des matières

• Se connecter à un portail captif sur Android en moins d'une minute
• Comment Android détermine si un réseau nécessite une connexion
  • Qui fait quoi au sein de Android
  • Lire la réponse du réseau
• Résoudre soi-même les échecs de connexion sur son téléphone
• Problèmes connus avec la détection de portail captif
  • Où la machine d'état échoue
• Kiosques et appareils Android gérés
• Choisir une conception de portail adaptée à Android

Se connecter à un portail captif sur Android en moins d'une minute

Cliquez sur la notification Se connecter au réseau avant de lancer Chrome. Android l'ouvre dans sa propre vue de connexion, suit ce que vous choisissez et teste à nouveau le réseau lorsque vous avez terminé. Un onglet de navigateur que vous ouvrez vous-même ne bénéficie d'aucun de ces traitements, c'est pourquoi les personnes qui ignorent l'invite se retrouvent si souvent avec une page connectée et un téléphone qui persiste à indiquer qu'il n'y a pas d'Internet.

1. Appuyez sur la notification Se connecter au réseau. Faites glisser le panneau de notifications vers le bas ou appuyez sur l'invite située sous le nom du WiFiWiFi. Elle apparaît généralement dans les secondes qui suivent la connexion et vous redirige directement vers la page de l'établissement sans avoir à deviner une URL.
2. Si aucune notification n'apparaît, ouvrez une page http simple. Dans votre navigateur, consultez une adresse http, et non https. Le portail peut intercepter et rediriger une requête non chiffrée, tandis qu'une page chiffrée bloquera ou affichera un avertissement de certificat. Choisissez une adresse que vous n'avez pas visitée récemment, afin que le navigateur ne puisse pas répondre à partir de son cache et ignorer complètement le réseau.
3. Effectuez l'étape requise par l'établissement. Acceptez les conditions, saisissez votre numéro de chambre, tapez le code reçu par SMS ou utilisez la connexion via un réseau social proposée. Ne fermez pas la fenêtre trop tôt, car Android a besoin du signal de fin pour tester à nouveau la connexion.
4. Attendez que l'avertissement disparaisse. L'icône WiFiWiFi doit perdre son triangle d'avertissement et la mention Pas d'internet doit disparaître. Ce changement signifie que Android a revalidé la connexion, et pas seulement chargé une page ; c'est ce qui fait la différence entre une connexion réussie et un formulaire rempli inutilement.
5. Désactivez et réactivez le WiFiWiFi une fois s'il indique toujours Pas d'internet. Désactivez puis réactivez le WiFiWiFi avant de tenter des manipulations plus complexes. Une nouvelle tentative de connexion force une nouvelle vérification et efface un résultat obsolète.

La réussite se traduit par la simplicité, et c'est bien l'objectif. La notification disparaît, la page souhaitée s'affiche et vos applications continuent de fonctionner après avoir quitté le navigateur. Si vous élaborez des instructions réutilisables pour le personnel ou les clients, des ensembles de guides pratiques peuvent vous aider à conserver ces étapes dans un format que les utilisateurs suivront facilement à la réception.

Comment Android détermine si un réseau nécessite une connexion

Android ne prend pas de décision en examinant votre navigateur. Il pose une question en arrière-plan, puis juge la réponse.

Lorsque votre téléphone se connecte au WiFi, il envoie un test HTTP en texte clair à un point d'accès de connectivité connu et attend une réponse valide vide spécifique. Si le réseau intercepte cette requête et renvoie une redirection ou une page de connexion à la place, Android traite le réseau comme captif et vous invite à vous connecter. La documentation relative au portail captif de Android 11 indique que Android a introduit la détection de portail captif intégrée dans Android 5.0, publié en 2014, ce qui correspond au API niveau 21, et qu'historiquement, le test utilisait connectivitycheck.gstatic.com.

Cette date est importante pour les opérateurs. La gestion du portail captif n'est pas une astuce de navigateur qu'on ajoute après coup. C'est une fonction du système d'exploitation qui contrôle les invites, les étiquettes de validation et le fait que les applications se considèrent ou non en ligne.

Qui fait quoi au sein de Android

Android divise le travail. NetworkMonitor teste l'accessibilité et le statut du portail. L'application de connexion Captive Portal Login préinstallée affiche la page d'authentification et informe le système de votre choix.

Une fois que vous vous êtes connecté, Android effectue un nouveau test. Si la sonde réussit le test, le réseau passe au statut validé et l'avertissement disparaît. Si elle échoue, vous pouvez avoir un formulaire de connexion rempli tout en n'ayant toujours pas d'accès Internet utilisable.

La nouvelle approche est plus propre. Un réseau peut annoncer son portail lors du processus DHCP à l'aide de l'option DHCP 114, en pointant Android vers un point de terminaison de portail captif API. La référence Android NetworkCapabilities prend en charge la partie application associée à ce flux, dans laquelle Android 11 et les versions ultérieures peuvent récupérer ce point de terminaison pendant le traitement DHCP. Une réponse JSON contenant captive: true amène alors Android à présenter directement l'interface de connexion du système. Si ce point de terminaison API n'est pas disponible, Android bascule sur des sondages.

Pour les développeurs d'applications, le signal se trouve dans le rappel réseau. NET_CAPABILITY_CAPTIVE_PORTAL signifie que la dernière sonde a détecté un portail captif. NET_CAPABILITY_VALIDATED signifie que le réseau a passé la validation.

Une page HTTP 200 provenant du portail n'est pas une preuve d'accès à Internet. Ne considérez la connexion comme réussie que lorsque le réseau atteint le statut validé.

Lecture de la réponse du réseau

Réponse du réseau	Ce que conclut Android	Ce que vous voyez
HTTP 204 depuis le point d'accès de test	Internet est ouvert, aucun portail	Aucune invite, la navigation fonctionne
HTTP 200 avec le HTML du portail au lieu de 204	Portail captif détecté	La notification de connexion apparaît
Test bloqué, délai dépassé ou échec DNS	La validation a échoué, portail non identifié	Aucune invite, mention « Pas d'Internet »
JSON captif via l'option DHCP 114 (Android 11 et versions ultérieures)	Connexion requise	La page de connexion système s'ouvre directement
Le test réussit après votre connexion	Réseau validé	L'avertissement disparaît et les applications peuvent se connecter

Lisez le tableau de gauche à droite. Android ne juge pas votre image de marque, vos champs de formulaire ou l'aspect finalisé de la page. Il évalue si la réponse de la sonde a changé de la manière attendue avant la connexion, et si elle revient à la normale ensuite.

Prenons l'exemple d'une tablette d'hôtel qui se connecte au réseau visiteurs mais n'affiche jamais d'invite. Le personnel remet souvent en cause la page de connexion et commence à en repenser les boutons. Vérifiez d'abord la sonde : si le réseau la bloque, dépasse le délai d'attente ou la laisse passer trop librement, Android risque de ne jamais atteindre l'état captif qui déclenche l'invite.

C'est le modèle mental à conserver. L'invite dépend de la façon dont le réseau répond à une vérification automatisée. Un portail soigné ne peut pas corriger une réponse de sonde incorrecte, et une réponse de sonde correcte peut rendre même un portail simple fiable.

Résoudre les échecs de connexion sur votre propre téléphone

Examinez les symptômes ci-dessous avant de modifier plusieurs paramètres à la fois. Une modification, un nouveau test, puis passez à la suite.

Symptôme	Cause probable	Solution
Pas de notification de connexion après avoir rejoint le réseau	Requête bloquée ou ancien résultat en cache	Oublier le réseau, s'y reconnecter, puis ouvrir une page http simple dans le navigateur
La page de connexion apparaît uniquement sur les sites https	Le portail redirige uniquement les requêtes http simples	Ouvrir une page http pour déclencher la redirection
Connecté mais indique toujours "Pas d'internet"	Le DNS privé ou le VPN bloque la vérification	Désactiver le DNS privé et le VPN, puis désactiver et réactiver le WiFiWiFi
Le portail ne cesse de réapparaître	L'adresse MAC aléatoire a changé pour la session	Configurer le réseau pour utiliser l'adresse MAC de l'appareil pour ce réseau
La page de connexion est vide ou ne peut pas être envoyée	Cache du navigateur obsolète ou ancienne page de portail	Vider le cache du navigateur et essayer un autre navigateur
Fonctionne sur un téléphone, mais pas sur un autre	Version de Android ou paramètres de confidentialité différents	Comparer les versions de Android et tester en désactivant l'adresse MAC aléatoire
Connecté, mais les applications échouent toujours	La connectivité n'a pas encore été revalidée	Attendre 30 secondes, puis désactiver et réactiver le mode avion

J'utiliserais cet ordre car il commence par la correction la moins coûteuse et évite d'affaiblir la confidentialité, sauf en cas de nécessité.

1. Désactivez et réactivez WiFi, puis oubliez le réseau et reconnectez-vous. Cela efface le résultat de validation en cache et force un nouveau test.
2. Vérifiez le DNS privé, le VPN et l'adresse MAC aléatoire. Ces paramètres se trouvent directement sur le chemin du DNS, du routage et de l'identité de l'appareil ; ce sont donc les bloquants les plus probables suivants.
3. Videz le cache du navigateur ou essayez un second navigateur. Faites cela lorsque la page est blanche, à moitié chargée ou ne s'envoie pas.

Avertissement concernant la confidentialité : désactiver le DNS privé ou un VPN réduit votre niveau de protection sur un réseau public. Réactivez-les dès que la connexion a réussi, et n'effectuez aucune opération bancaire ni aucun changement de mot de passe avant de l'avoir fait.

La ligne d'adresse MAC randomisée induit souvent les utilisateurs en erreur. Si le portail a autorisé une identité MAC et que votre téléphone en présente une autre lors de la connexion suivante, l'établissement voit un nouvel appareil et affiche à nouveau le portail. Définir ce réseau spécifique pour qu'il utilise l'adresse MAC de l'appareil stabilise la session, mais vous ne devez pas modifier ce paramètre de manière globale pour tous les réseaux.

Si rien de tout cela ne fonctionne, arrêtez de tout réinitialiser. Notez l'heure, le nom du réseau et le modèle de l'appareil, puis transmettez ces informations à l'établissement afin qu'il puisse vérifier du côté du portail. Si le problème dépasse le cadre de la connexion WiFi, vous pouvez trouver de l'aide pour les problèmes de téléphone traitant de pannes d'appareils plus larges, mais un portail d'établissement qui ne valide jamais ne sera pas résolu par une réinitialisation d'usine.

Problèmes connus liés à la détection du portail captif

Le réflexe d'un opérateur est d'autoriser davantage de domaines avant la connexion. Cet instinct peut bloquer complètement la connexion au portail captif Android.

Les consignes actuelles de Captifi concernant les portails captifs qui ne s'affichent pas expliquent que Android exécute des vérifications de connectivité automatisées qui attendent généralement une réponse HTTP 204 de la part d'un point d'accès de vérification de connectivité Google, et que si un jardin clôturé autorise ce point d'accès de manière trop large, Android peut en conclure qu'un accès Internet non restreint existe et supprimer l'invite de connexion. En termes simples, votre liste d'autorisations peut convaincre le téléphone qu'il n'y a pas de portail.

C'est le compromis que les opérateurs négligent. Une liste d'autorisations restreinte risque de bloquer un script de paiement ou un fournisseur d'identité dont le portail a besoin. Une liste d'autorisations large conserve l'aspect esthétique de la page tout en supprimant le déclencheur qui l'ouvre.

Endroits où la machine à états tombe en panne

Les échecs ne se résument pas tous à une invite manquante. Les échecs DNS peuvent bloquer la validation. Un paramètre VPN ou de DNS privé peut contourner le résolveur de l'établissement. Le comportement HTTPS uniquement ne donne au portail rien qu'il puisse rediriger en toute sécurité. La randomisation des adresses MAC peut faire apparaître un même téléphone comme plusieurs appareils différents au fil des connexions.

Vous ne pouvez pas déboguer ces cas à partir d'une simple capture d'écran de la page de connexion. Enregistrez les signaux de session qui indiquent quel état Android a atteint et où elle s'est arrêtée.

• Résultat du sondage : La vérification a-t-elle renvoyé un code 204, une redirection, du HTML de portail ou rien ?
• Résultat DNS : Le point de terminaison a-t-il été résolu via le résolveur du site ?
• Statut de redirection : La passerelle a-t-elle redirigé l'appareil vers l'URL du portail ?
• Erreur WebView : L'affichage ou la validation du formulaire de connexion a-t-il échoué ?
• Identité MAC aléatoire : Quelle adresse MAC le portail a-t-il autorisée ?
• Validation post-authentification : Le réseau a-t-il fonctionné une fois le formulaire rempli ?

Admettons que vos journaux indiquent des sondes autorisées et une connexion réussie, mais que la validation ne suit jamais. Ne blâmez pas l'appareil en premier. Vérifiez la redirection après connexion et la libération de l'autorisation, car le portail a peut-être accepté le formulaire sans indiquer au réseau de laisser passer l'appareil.

J'apporterais quatre modifications, dans cet ordre.

1. Restreignez la liste d'autorisations de pré-authentification au strict minimum requis par le portail et ses fournisseurs d'authentification.
2. Consignez chaque champ de télémétrie ci-dessus pour chaque session réussie ou échouée.
3. Testez l'intégration sécurisée en HTTPS afin que les invités ne dépendent pas d'un seul déclencheur HTTP brut.
4. Prévoyez un parcours sans portail pour les appareils qui ne doivent pas dépendre d'un portail captif, en utilisant des options telles que OpenRoaming WiFi, Passpoint ou des certificats gérés.

Appareils Android de borne interactive et gérés

Une tablette gérée peut se trouver sur un réseau qui la redirige correctement sans jamais afficher de fenêtre de connexion. Il ne s'agit pas d'un problème de puissance de signal. C'est généralement une question de politique.

Les conseils destinés aux particuliers supposent que vous pouvez appuyer sur des notifications, désactiver un VPN et modifier des paramètres de confidentialité WiFi. Un utilisateur de borne tactile ne peut souvent rien faire de tout cela. Les recommandations sur la mobilité d'entreprise relatives aux portails captifs sur borne indiquent que les portails captifs sont gérés par une application préchargée et que la politique de la borne doit explicitement l'autoriser. Ainsi, un paquet système de portail captif bloqué empêche le lancement de la connexion, même si le réseau fonctionne correctement.

Cela pose problème là où personne ne considère l'équipement comme un téléphone. Pensez aux tablettes dans les hôpitaux et les écoles, aux terminaux portables dans les commerces, aux tablettes d'hôtel et aux écrans d'enregistrement appartenant aux établissements. Le téléphone personnel du client se connecte très bien, de sorte que le personnel déclare le réseau opérationnel alors que la flotte gérée reste hors ligne.

Admettons qu'un terminal de vente fonctionne lorsqu'un responsable teste le même réseau sur un téléphone du personnel, mais que la version du kiosque reste déconnectée. Vérifiez la liste d'autorisations de la politique avant de toucher au portail. Le téléphone prouve que la redirection existe. Le terminal prouve que l'image gérée ne l'ouvrira pas.

Exécutez les vérifications d'opérateur dans cet ordre.

1. Autorisez le paquet système du portail captif dans votre politique EMM ou MDM, puis déployez la politique et réassociez le réseau sur un appareil de test.
2. Testez Android System WebView sur cette image système précise, car un WebView obsolète ou désactivé peut afficher un portail vide ou empêcher la validation du formulaire.
3. Définissez un parcours d'intégration de secours pour les appareils incapables d'afficher un portail interactif, comme un profil préconfiguré ou une connexion basée sur des certificats, à l'image d'une intégration BYOD structurée plutôt que d'un mot de passe partagé.

La politique d'abord, la WebView ensuite, le repli en troisième. Si vous inversez cet ordre, vous créerez des solutions de contournement pour des appareils qui n'avaient besoin que d'une autorisation pour afficher la page Android déjà détectée.

Choisir une conception de portail qui fonctionne sur Android

Commencez par trois critères, et non par la conception d'un portail captif. La fréquence de retour des visiteurs, le caractère personnel ou géré des appareils et les versions de Android qui doivent fonctionner doivent déterminer la conception.

Pour les visiteurs ponctuels, un portail captif reste pratique. Conservez une liste d'autorisations pré-authentification aussi restreinte que possible, prenez en charge les méthodes de connexion attendues par les visiteurs et veillez à ce que la libération post-connexion soit suffisamment rapide pour que Android valide l'accès avant que l'utilisateur ne commence à modifier ses paramètres. Notre propre portail peut être ajouté à un contrôleur avec l'URL de la page d'accueil et RADIUS en moins de 15 minutes, avec des options de connexion incluant SSO, Google, Apple, Facebook et SMS. Toutefois, la rapidité de configuration ne vous dispense pas d'exécuter des tests sur le comportement de la requête de test.

Pour les visiteurs récurrents, nous vous déconseillons de forcer un portail à chaque visite si vous pouvez l'éviter. Passpoint ou OpenRoaming permet à un profil installé une seule fois de se connecter automatiquement lors du retour, sans friction liée au portail ni formulaire à remplir à nouveau. Comparez cette approche à votre configuration actuelle lorsque vous examinez les solutions de WiFiWiFi invité, et confirmez que votre contrôleur et votre configuration RADIUS prennent en charge cette option avant de vous engager.

Effectuez ensuite les tests comme un opérateur, et non comme un concepteur.

• Plus ancienne version de Android prise en charge : Vérifier que l'invite s'affiche et que la validation s'effectue.
• Appareil Android actuel : Vérifier que le DNS privé et la randomisation MAC par défaut ne bloquent pas l'utilisateur.
• Version borne/kiosque gérée : Confirmer que la stratégie autorise l'application du portail et que WebView affiche la page.

Sur chaque appareil, attendez le statut validé et ouvrez deux applications, pas seulement le navigateur. Un téléphone qui fonctionne ne prouve pas grand-chose, car la détection varie selon la version de Android, la prise en charge du DHCP et la politique de l'appareil. Ne déployez auprès des visiteurs qu'une fois que les trois ont réussi le test.

---

Si vos visiteurs Android rencontrent constamment un portail qui n'affiche aucune invite, ne valide rien ou ne reste pas connecté, Purple Access peut vous aider à exploiter un portail captif aux couleurs de votre marque pour les visiteurs occasionnels et Passpoint ou OpenRoaming pour les appareils récurrents sur les points d'accès que vous possédez déjà. Contactez-nous pour tester votre plus ancien appareil Android, vos téléphones actuels et toute configuration de borne gérée avant votre prochain déploiement, afin que la connexion fonctionne dès la première tentative.