PPSK pour les équipements en magasin : checklist de déploiement pour caisses, scanners et CCTV sur Cisco Meraki et Juniper Mist

Les clés privées pré-partagées (PPSK) attribuent à chaque caisse, scanner, imprimante et écran sa propre clé WiFi sur un SSID unique. Chaque clé s'associe à un VLAN (LAN virtuel), une politique et une limite de bande passante, afin d'isoler les caisses de l'affichage dynamique et de la vidéosurveillance. Associez les clés aux adresses MAC et révoquez uniquement la clé d'un appareil perdu. Cisco Meraki nomme cela Identity PSK ; Juniper Mist l'appelle Multi PSK.

À quoi sert concrètement le PPSK pour les appareils en magasin ?

La plupart des parcs d'équipements en magasin ont construit leur réseau WiFi par hasard. Les scanners rejoignent le SSID du personnel. Les lecteurs d'affichage dynamique se connectent au premier réseau visible par l'installateur. Une caméra sans fil se retrouve sur le réseau invités. Tout le monde partage un mot de passe unique qui n'a pas changé depuis l'ouverture du magasin.

Le PPSK résout ce problème sans exiger la moindre modification sur l'appareil. Ce dernier voit toujours un SSID unique et saisit une seule clé WPA2-Personal. Le changement s'effectue côté réseau. Chaque appareil reçoit une clé différente. Le point d'accès associe chaque clé à une identité, localement ou en interrogeant un serveur RADIUS. Il applique ensuite le VLAN, les règles de pare-feu et la limite de bande passante liés à cette identité. RADIUS est le protocole utilisé par un point d'accès pour demander à un serveur central l'identité d'un appareil et les ressources auxquelles il a accès.

Trois avantages majeurs s'imposent en magasin :

• Séparation par identité. Une caisse et un lecteur d'affichage dynamique sur le même SSID se retrouvent sur des VLANs différents, avec des règles de pare-feu distinctes.
• Confinement. Selon la norme IEEE 802.11i, chaque appareil génère ses clés de session à partir de sa propre clé. Toute personne disposant d'une clé partagée et interceptant une poignée de main (handshake) peut déchiffrer les clés de session d'un autre appareil. Avec le PPSK, une clé d'affichage dynamique compromise ne permet pas de déchiffrer le trafic des caisses.
• Révocation centralisée. Supprimez une seule clé et un seul appareil perd son accès. Rien d'autre ne change dans le magasin.

La place du PPSK parmi vos trois réseaux

Purple Access gère trois réseaux sur une seule plateforme, et l'identité définit le VLAN sur chacun d'eux. Le réseau ouvert accueille les clients via un captive portal, décrit dans notre guide Captive portals. Le réseau sécurisé est destiné au personnel grâce aux normes 802.1X et EAP-TLS. 802.1X est la norme permettant d'authentifier chaque appareil avant sa connexion. EAP-TLS est la méthode utilisant un certificat installé sur l'appareil. Le personnel peut également s'authentifier avec Microsoft Entra ID, Okta ou Google Workspace, comme illustré dans Okta WiFi Authentication: Setup Steps, Options and Fixes.

Les certificats restent le choix par défaut pour les utilisateurs. Le réseau xPSK couvre tout ce qui ne peut pas en héberger un : caisses enregistreuses, lecteurs de code-barres portables, imprimantes de reçus, écrans d'affichage dynamique et caméras CCTV sans fil. Nous utilisons le même modèle pour les résidents d'immeubles d'habitation, comme expliqué dans WiFi pour logements collectifs : fonctionnement de l'isolation, du xPSK et de la facturation. Pour consulter l'ensemble du modèle de sécurité, voir notre guide de sécurité WiFi.

PPSK comparé aux autres solutions

Méthode	Ce que détient l'appareil	Révocation d'un appareil	VLAN et politique par appareil	Infrastructure supplémentaire	Adapté à
PSK partagé	Une phrase passe partagée par tous les appareils	Modifier la clé sur chaque appareil du SSID	Non, un VLAN par SSID	Aucune	Rien qui ne traite des paiements
PPSK (Meraki Identity PSK, Mist Multi PSK)	Sa propre phrase passe, optionnellement liée à sa MAC	Supprimer une seule clé	Oui, par clé	Meraki : RADIUS pour la liaison MAC. Mist : aucun avec Cloud PSK	Caisses, lecteurs, imprimantes, affichage, CCTV
IEEE 802.1X avec EAP-TLS	Un certificat client	Révoquer un seul certificat	Oui, par identité	Serveur RADIUS et infrastructure à clés publiques (PKI)	Ordinateurs et téléphones du personnel sous MDM
Contournement de l'authentification MAC	Rien : l'adresse MAC constitue l'identité	Supprimer une seule adresse MAC	Oui, par adresse MAC	Serveur RADIUS	Appareils filaires ne supportant rien d'autre

MDM signifie gestion des appareils mobiles (Mobile Device Management), le système qui pousse les paramètres vers les téléphones, lecteurs et ordinateurs portables appartenant à l'entreprise.

De quoi avez-vous besoin avant de déployer PPSK dans vos magasins ?

La majeure partie du travail s'effectue avant de créer la moindre clé. Veillez à disposer au préalable des éléments suivants :

• Un inventaire des appareils par magasin. Enregistrez la classe d'appareil, la marque, le modèle, l'adresse MAC, si la MAC est fixe, les modes de sécurité pris en charge et les bandes radio.
• Un plan de segmentation. Validez un VLAN par classe d'appareil avec les responsables des contrats de paiement, de CCTV et d'affichage.
• Un trunking VLAN vers chaque point d'accès. Chaque port de liaison montante d'AP doit acheminer chaque VLAN de segment, sinon les appareils s'associent puis n'obtiennent aucune adresse IP.
• Des règles de pare-feu par segment. Définissez par écrit ce que chaque segment peut atteindre avant de configurer quoi que ce soit.
• Un accès à la console. Vous avez besoin des droits d'administrateur au niveau de l'organisation dans le Dashboard Meraki ou le portail Juniper Mist.
• Une décision sur l'emplacement des clés. Les clés peuvent résider sur le SSID lui-même, sur un serveur RADIUS ou dans un service de clés cloud. Le tableau ci-dessous associe votre parc à un choix.
• Le contrôle MDM des lecteurs Android. Vous en aurez besoin pour fixer l'adresse MAC par réseau et pousser les clés à distance.
• Un responsable du registre des clés. Les appareils ont des entrées, des transferts et des sorties tout comme le personnel. Quelqu'un doit enregistrer chaque clé émise et chaque clé révoquée.

Votre parc	Emplacement recommandé des clés	Liaison MAC	Pourquoi
Cisco Meraki uniquement, une clé par classe d'appareil	Identity PSK sans RADIUS, clés stockées sur le SSID	Non disponible	Démarrage le plus rapide, mais une clé divulguée fonctionne sur n'importe quel appareil
Cisco Meraki, une clé par équipement	Identity PSK avec RADIUS, pointant vers un service cloud RADIUS	Oui, recherche par adresse MAC	Chaque clé ne fonctionne que pour l'équipement auquel elle a été attribuée
Juniper Mist uniquement	Mist Cloud PSK	Oui, avec des clés à usage unique	Natif au cloud Mist, avec VLAN, rôle et expiration par clé
Parc mixte : Meraki plus HPE Aruba, Ruckus, Mist ou Ubiquiti UniFi	Purple Access xPSK comme cloud RADIUS	Oui	Un registre de clés pour tous les fournisseurs, aucun remplacement de matériel nécessaire

Comment configurer le PPSK sur Cisco Meraki et Juniper Mist ?

Étape 1 : concevoir la cartographie clés-segments

Concevez les segments avant de toucher à l'une ou l'autre des consoles. Cette cartographie sépare la sécurité du WiFi des terminaux de paiement de tout ce qui n'a pas besoin d'accéder aux paiements.

Classe d'équipement	Segment	Peut accéder à	Politique de bande passante	Portée de la clé
Terminaux de paiement et caisses	Paiements	Traitement des paiements et serveur de caisse uniquement	Non plafonnée, priorité maximale	Une par équipement, liée à la MAC
Scanners portables	Opérations en magasin	Stock, commandes et systèmes de gestion des portables	Plafond par équipement	Une par équipement, liée à la MAC
Imprimantes de reçus et d'étiquettes	Opérations en magasin	Serveurs de caisse et d'impression	Faible plafond par équipement	Une par équipement, liée à la MAC
Lecteurs d'affichage dynamique	Affichage	Système de gestion de contenu et serveurs de mise à jour	Plafond par équipement	Une par équipement, liée à la MAC
Caméras de vidéosurveillance sans fil	Vidéosurveillance	Enregistreur vidéo réseau uniquement	Marge réservée au débit de la caméra	Une par équipement, liée à la MAC

Conservez un nombre réduit de segments. Cinq segments par magasin suffisent pour la plupart des parcs, et chaque VLAN supplémentaire doit être connecté en trunk à chaque point d'accès.

Étape 2 : Cisco Meraki et Identity PSK

Meraki applique la politique par clé via des politiques de groupe, créez-les donc en premier. Dans le tableau de bord Meraki, créez une politique de groupe par segment. Chaque politique définit la balise VLAN, la limite de bande passante et les règles de pare-feu de Couche 3 et Couche 7 pour ce segment.

Ensuite, ouvrez les paramètres de contrôle d'accès pour le SSID de votre équipement. Meraki propose deux modes Identity PSK :

• Identity PSK sans RADIUS. Vous saisissez les clés directement sur le SSID et associez chaque clé à une politique de groupe. Aucune liaison MAC n'est disponible, donc tout équipement qui apprend une clé obtient la politique de cette clé.
• Identity PSK avec RADIUS. Le point d'accès envoie l'adresse MAC de l'équipement à votre serveur RADIUS. Le serveur renvoie la phrase passe et la politique de groupe pour cette adresse MAC. Une clé ne fonctionne que pour l'équipement auquel elle a été attribuée.

Pour les caisses et tout équipement sur le segment des paiements, utilisez le mode RADIUS. Les pages de documentation Cisco "IPSK without RADIUS" et "IPSK with RADIUS Authentication" fournissent les étapes exactes pour chaque mode.

Étape 3 : Juniper Mist et Multi PSK

Dans le portail Juniper Mist, configurez le WLAN de votre équipement pour utiliser plusieurs phrases passe. Mist vous offre trois sources de clés : les clés stockées localement sur le WLAN, les Cloud PSKs conservées au niveau de l'organisation, ou les clés renvoyées par un serveur RADIUS.

Pour un parc de magasins, Cloud PSK est le choix naturel. Chaque Cloud PSK comporte son propre VLAN, son rôle et sa date d'expiration. Définissez les appareils du magasin sur un usage unique, ce qui lie la clé à la première adresse MAC qui s'y connecte. Utilisez ensuite le rôle de chaque clé dans vos politiques WxLAN pour contrôler ce que ce segment peut atteindre. Appliquez des limites de débit pour plafonner la bande passante de la signalétique et des scanners. La documentation Multi PSK de Juniper couvre l'intégralité des paramètres WLAN et des champs Cloud PSK.

Étape 4 : Purple Access comme registre de clés unique multi-fournisseurs

La plupart des parcs de vente au détail utilisent plus d'un fournisseur de matériel après des acquisitions et des réaménagements. Purple Access fait fonctionner le réseau xPSK en tant que RADIUS cloud, de sorte qu'un seul registre de clés dessert chaque magasin. Les SSID Meraki pointent l'Identity PSK avec RADIUS vers Purple. Les WLAN Mist utilisent RADIUS comme source de clés. Purple renvoie la clé par appareil, le VLAN et la politique pour chaque adresse MAC.

Le même modèle fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Vous conservez vos points d'accès et vos commutateurs. L'article d'assistance de Purple pour votre fournisseur répertorie les paramètres RADIUS exacts.

La liste de contrôle pour le déploiement en magasin

1. Choisissez un magasin pilote qui contient chaque classe d'appareils que vous utilisez.
2. Exportez l'inventaire des appareils de ce magasin, avec une adresse MAC vérifiée pour chaque appareil.
3. Raccordez (trunk) chaque VLAN de segment à chaque port de liaison montante d'AP avant le jour de la bascule.
4. Créez les politiques de segment : politiques de groupe sur Meraki, rôles et politiques WxLAN sur Mist.
5. Créez une clé par appareil et enregistrez-la dans le registre de clés.
6. Poussez un paramètre de MAC fixe pour le SSID de l'appareil vers les scanners Android via MDM.
7. Diffusez le SSID de l'appareil aux côtés du SSID existant du personnel.
8. Déplacez les appareils classe par classe : la signalétique en premier, puis les imprimantes et les scanners, puis les caisses en dehors des heures d'ouverture.
9. Exécutez chaque test de la section suivante avant de déplacer la classe suivante.
10. Modifiez l'ancien mot de passe partagé du personnel une dernière fois, afin qu'aucun appareil ne puisse y revenir.
11. Rédigez le guide de révocation : appareil perdu, clé révoquée, remplacement effectué avec une nouvelle clé.
12. Déployez par vagues de magasins, en réutilisant les politiques pilotes, et conservez les résultats des tests comme preuves.

Comment vérifier que PPSK fonctionne dans chaque magasin ?

Testez chaque classe d'appareils, pas un seul appareil. Un test réussi sur un scanner ne vous dit rien sur une imprimante située sur un VLAN différent.

• Bon segment. Vérifiez la liste des clients dans le tableau de bord Meraki ou dans les informations clients de Mist. Chaque appareil doit afficher le VLAN attendu et une adresse IP du sous-réseau de ce segment.
• Isolation. À partir d'un appareil de test sur le segment de la signalétique, tentez d'atteindre le serveur de caisse et l'enregistreur vidéo. Les deux tentatives doivent échouer.
• Liaison MAC. Saisissez la clé d'un scanner sur un téléphone de test. Le téléphone doit être rejeté.
• Révocation. Révoquez une clé de test et confirmez que l'appareil ne peut pas se reconnecter. Si la session existante persiste, déconnectez le client depuis la console. Tous les autres appareils du magasin doivent rester connectés.
• Bande passante. Exécutez un test de débit à partir d'un lecteur d'affichage dynamique et confirmez que la limite s'applique. Notre guide sur la Mesure de l'utilisation de la bande passante : méthodes, KPI et configuration détaille la méthode à suivre.
• Itinérance (Roaming). Déplacez-vous avec un scanner de la réserve jusqu'à l'autre bout de la surface de vente. L'application de numérisation doit rester connectée.

Conservez les résultats. Votre registre de clés, vos politiques de segment, vos journaux de révocation et vos résultats de tests d'isolation fournissent des preuves pour PCI-DSS v4.0. L'exigence 1 couvre les contrôles de sécurité réseau entre les segments. L'exigence 2.3 couvre les environnements sans fil, y compris la modification des clés par défaut. Les vérifications des points d'accès pirates selon l'exigence 11.2.1 restent une tâche distincte.

Que se passe-t-il lorsque iPSK dysfonctionne, et comment y remédier ?

Symptôme	Cause probable	Solution
L'appareil s'associe mais n'obtient pas d'adresse IP	Le VLAN du segment n'est pas en trunk sur le port du commutateur de l'AP	Taguer chaque VLAN de segment sur chaque port d'liaison montante d'AP
Scanner rejeté après une mise à jour de l'OS	Randomisation MAC activée ; Android 10 et versions ultérieures la choisissent par défaut par réseau	Configurer le profil SSID de l'appareil pour utiliser l'adresse MAC réelle via un MDM
Une seule clé fonctionne sur deux appareils	Clé non liée à une adresse MAC (Meraki sans RADIUS, usage multiple avec Mist)	Passer à Identity PSK avec RADIUS ou aux clés à usage unique Mist
Une imprimante plus ancienne ne peut pas se connecter	L'appareil prend uniquement en charge le 2,4 GHz et le WPA2-Personal	Maintenir le 2,4 GHz et le WPA2-Personal activés sur le SSID de l'appareil
Le scanner subit des déconnexions entre les rayons	L'itinérance rapide 802.11r est incompatible avec un client hérité	Tester en désactivant la transition rapide sur le SSID de l'appareil
Les caisses ralentissent lors de la diffusion de contenu d'affichage	La politique d'affichage n'a pas de limite de bande passante	Appliquer une limite par appareil au segment d'affichage
Appareil perdu toujours en ligne après suppression de la clé	La session existante persiste jusqu'à la réauthentification	Déconnecter le client dans la console après la révocation

Deux problèmes méritent plus qu'un simple tableau.

Le premier est la clé qui devient un second mot de passe partagé. Un technicien note la clé d'un scanner sur un autocollant, et six appareils finissent par l'utiliser. La liaison MAC empêche cela. Sans liaison, une clé par appareil n'est une clé par appareil que par convention.

Le second est WPA3. De nombreuses mises en œuvre de clés par appareil reposent sur WPA2-Personal, et de nombreuses caisses et imprimantes ne prennent rien de plus récent en charge. Consultez la documentation Cisco Meraki et Juniper Mist pour connaître la prise en charge de WPA3 sur votre firmware avant de concevoir votre architecture.

Deux scénarios concrets : une chaîne de magasins de mode et un stade

Commerce de détail : une chaîne de prêt-à-porter de 150 magasins sur Cisco Meraki

Situation. Prenons le cas d'une chaîne de 150 magasins comprenant six caisses, huit scanners, deux imprimantes et quatre lecteurs d'affichage dynamique par magasin. Les 20 appareils partagent le SSID du personnel et un seul mot de passe. Cela représente 3 000 appareils utilisant une seule clé sur l'ensemble du parc. L'exigence PCI-DSS 2.3.2 vous demande de changer les clés WiFi lorsque quelqu'un qui les connaît quitte l'entreprise. Tous les responsables de magasin connaissant ce mot de passe, chaque départ de responsable devrait déclencher 3 000 changements de clés. Dans la pratique, cela n'arrive jamais.

Ce qui a été fait. La chaîne ajoute un SSID d'équipement en utilisant Identity PSK avec RADIUS, Purple Access conservant le registre des clés. Quatre politiques de groupe séparent les paiements, les opérations du magasin, la signalétique et les imprimantes. L'MDM pousse les clés vers les scanneurs, de sorte que le personnel du magasin ne voit jamais la clé d'un équipement.

Résultat. Un scanneur volé implique désormais la révocation d'une seule clé et zéro autre équipement touché, au lieu de 20 dans ce magasin. Le départ d'un responsable ne déclenche plus de rotation, car les responsables ne détiennent jamais les clés des équipements. Le segment des paiements passe de 20 équipements par magasin sur un réseau plat à six caisses. Les directives du PCI SSC indiquent que la segmentation peut réduire le périmètre des systèmes concernés, sous réserve de la validation de votre évaluateur.

Événements : un stade sous Juniper Mist

Situation. Prenons l'exemple d'un stade comptant 40 caisses de concession permanentes et 120 écrans de signalétique. Un prestataire de billetterie apporte 25 scanneurs portables à chaque événement. Le prestataire a toujours reçu le mot de passe du personnel, et celui-ci n'a jamais été modifié.

Ce qui a été fait. Le stade passe aux PSK Mist Cloud. Les caisses reçoivent des clés à usage unique sur le VLAN des paiements. Les clés de la signalétique comportent un rôle avec une limite de débit. À chaque événement, les 25 scanneurs du prestataire reçoivent des clés à usage unique sur leur propre VLAN, avec une expiration définie à la fin de la journée de l'événement.

Résultat. Les 25 clés du prestataire expirent automatiquement après chaque événement, sans rien à révoquer manuellement. Les équipements du prestataire ne détiennent jamais de clé permettant d'accéder au segment des caisses. Les plafonds appliqués à la signalétique empêchent la diffusion de contenus de ralentir les paiements des concessions à la mi-temps.

Combien coûte la technologie PPSK et quels en sont les bénéfices ?

La technologie PPSK ne nécessite aucun nouveau matériel. Vos coûts se situent à quatre niveaux :

• Temps de conception. Constitution de l'inventaire, validation des segments et rédaction des règles de pare-feu.
• Modifications des commutateurs. Trunking des VLANs de segment vers chaque AP, ce qui se fait généralement par déploiement de modèle.
• Visites en magasin pour les équipements non gérés. Les imprimantes et caméras sans MDM nécessitent une modification locale.
• Un service de clés pour l'association d'adresses MAC. Sur Meraki, cela implique un service RADIUS tel que Purple Access. Vérifiez vos niveaux de licence Meraki et Mist auprès de votre revendeur.

Le retour sur investissement est plus facile à constater par le calcul. Dans la chaîne de prêt-à-porter mentionnée ci-dessus, la rotation d'une clé partagée implique de modifier 3 000 équipements. En comptant cinq minutes par équipement, une seule rotation coûte 250 heures de temps de magasin et d'IT. Avec la technologie PPSK, cette même opération coûte le changement d'une seule clé. Le gain le plus important réside dans le confinement : un scanneur perdu n'expose que le segment d'un seul équipement, et non le réseau de paiement.

Purple fonctionne sur plus de 80 000 sites actifs et a géré 440 millions de connexions en 2024 (données internes à Purple). Purple est certifié ISO 27001. Le marketing visiteur sur le réseau ouvert est géré dans Engage. Le filtrage DNS pour n'importe quel segment s'effectue via Shield, un module complémentaire séparé. Pour les réseaux ouverts et sécurisés, consultez nos guides Access.

Foire aux questions

Devons-nous acheter de nouveaux points d'accès pour utiliser la technologie PPSK dans nos magasins ?

Non. PPSK fonctionne sur les points d'accès que vous possédez déjà. Les points d'accès Cisco Meraki MR le prennent en charge sous le nom d'Identity PSK, et les points d'accès Juniper Mist le prennent en charge sous le nom de Multi PSK. Purple Access est indépendant du matériel et s'intègre au-dessus de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet sous la forme d'une superposition cloud. Vous modifiez les paramètres SSID, les trunks VLAN et les politiques, pas le matériel.

PPSK satisfera-t-il notre évaluateur PCI-DSS ?

PPSK vous fournit des preuves pour la conformité PCI-DSS, mais ne constitue pas une validation à lui seul. Les clés par équipement répondent à l'exigence 2.3.2, qui demande de changer les clés sans fil lorsqu'une personne les connaissant quitte l'entreprise ou lorsqu'une clé est compromise. Le déplacement des caisses sur leur propre VLAN répond à l'exigence 1 et peut réduire le périmètre des systèmes concernés. Votre évaluateur de sécurité qualifié (QSA) décide de ce qui est valide, exportez donc votre registre de clés, vos politiques et vos résultats de test à son attention.

Les équipements de magasin doivent-ils utiliser PPSK ou des certificats 802.1X ?

Utilisez des certificats dès qu'un équipement peut en enrôler et en renouveler un, et PPSK pour tout le reste. L'IEEE 802.1X avec EAP-TLS reste l'option par défaut pour les ordinateurs portables et les téléphones du personnel gérés par MDM. La plupart des caisses, imprimantes, écrans d'affichage dynamique et caméras ne peuvent pas enrôler de certificats à grande échelle, et beaucoup ne prennent en charge que le WPA2-Personal. PPSK apporte à ces équipements une identité, un VLAN et une révocation par équipement, sans modifier l'équipement lui-même.

Pouvons-nous retirer les équipements d'un mot de passe personnel partagé sans visiter chaque magasin ?

Oui, pour les équipements que vous gérez via MDM. Déployez le nouveau SSID de l'équipement, sa clé par équipement et un paramètre d'adresse MAC fixe au sein d'un même profil. Confirmez ensuite que chaque équipement arrive sur le bon VLAN. Les équipements sans MDM, comme de nombreuses imprimantes et caméras, nécessitent une modification locale ou l'outil de configuration du fournisseur. Planifiez ces interventions lors des visites de magasin existantes, et maintenez l'ancien SSID actif jusqu'au transfert du dernier équipement.

Que se passe-t-il si un scanner génère une adresse MAC aléatoire ?

Une clé liée à l'adresse MAC le rejettera, il convient donc de désactiver la randomisation pour le SSID de l'équipement. Android 10 et les versions ultérieures utilisent par défaut une adresse MAC aléatoire par réseau, et la plupart des scanners durcis fonctionnent sous Android. Configurez le profil WiFi pour utiliser l'adresse MAC de l'équipement via votre MDM. La randomisation protège la vie privée des personnes sur les réseaux publics. Elle n'apporte rien pour une caisse ou un scanner géré qui rejoint votre propre réseau.

Purple Access couvre-t-il également le WiFi visiteurs et le filtrage de contenu ?

Oui, sur des réseaux séparés gérés à partir d'une seule plateforme. Les clients rejoignent le réseau ouvert via un Captive Portal, avec la gestion du marketing et du consentement explicite dans Engage. Le personnel rejoint le réseau sécurisé avec des certificats ou une connexion Microsoft Entra ID, Okta ou Google Workspace. Le filtrage DNS est assuré par Shield, un module complémentaire séparé. Les équipements restent sur xPSK, ainsi une caisse ne partage jamais un réseau avec le téléphone d'un client.

Quel effort représente le déploiement de PPSK sur l'ensemble d'un parc de magasins ?

Anticipez le fait que la majeure partie de l'effort précédera la création de la première clé. L'inventaire des appareils avec leurs adresses MAC prend plus de temps que la configuration sur les consoles. Il en va de même pour l'accord sur la segmentation avec les responsables des paiements et de la vidéosurveillance, ainsi que le trunking des VLANs vers chaque point d'accès. Une fois qu'un magasin pilote valide l'ensemble des tests, les magasins suivants réutilisent les mêmes politiques et modèles de clés. Les appareils gérés par MDM migrent à distance, tandis que les imprimantes et caméras non gérées dictent le rythme de chaque vague de déploiement.