WiFi pour concessions et locataires dans les centres commerciaux : une architecture xPSK avec une clé et un VLAN par locataire

Exploitez un seul SSID xPSK pour chaque concession et local commercial. Chaque locataire reçoit sa propre clé, et cette clé place ses caisses, tablettes et équipements de back-office sur son propre VLAN. Les visiteurs restent sur le réseau Captive Portal ouvert et les systèmes du centre sur un réseau 802.1X sécurisé : trois SSIDs au total, avec des clés révoquées le jour où le bail prend fin.

À quoi sert réellement un réseau avec une clé et un VLAN par locataire ?

Un centre commercial détient les points d'accès, mais des dizaines d'entreprises distinctes en dépendent. Chaque concession, kiosque et local commercial exploite des caisses, des tablettes d'inventaire, des PC de back-office et souvent de l'affichage dynamique. Ces appareils ne doivent pas se voir entre eux, ni voir les visiteurs ou les propres systèmes du bâtiment du centre.

xPSK est le terme générique désignant les réseaux où chaque locataire ou appareil possède sa propre clé prépartagée sur un seul SSID. Chaque constructeur le nomme différemment :

• Cisco Meraki : Identity PSK (iPSK).
• HPE Aruba : MPSK.
• Ruckus : DPSK.
• Juniper Mist : Multi PSK.
• Ubiquiti UniFi : Private Pre-Shared Keys (PPSK).

Lorsqu'un appareil se connecte, la clé qu'il présente identifie le locataire. RADIUS renvoie ensuite le VLAN de ce locataire. RADIUS est le protocole utilisé par vos points d'accès pour demander à un serveur d'authentification qui tente de se connecter. Un VLAN (LAN virtuel, défini dans la norme IEEE 802.1Q) est un réseau de couche 2 distinct fonctionnant sur les mêmes commutateurs et le même câblage.

Le résultat est un nom de réseau unique dans les airs et de nombreux réseaux isolés sur le câble. C'est l'identité qui définit le VLAN, et non le SSID.

Pourquoi un SSID par locataire ne fonctionne pas à grande échelle

Chaque SSID transmet ses propres trames de balise (beacons) sur chaque radio. L'intervalle de balise par défaut selon IEEE 802.11 est de 100 unités de temps, soit 102,4 ms, ce qui signifie que chaque SSID émet près de 10 fois par seconde. Les balises sont envoyées au débit de données de base le plus bas, ce qui les rend très gourmandes en temps d'antenne.

Chaque SSID supplémentaire consomme donc du temps d'antenne que le trafic des locataires et des visiteurs pourrait utiliser. Avec 20 SSIDs locataires, chaque point d'accès à portée envoie 20 séries de balises. Les constructeurs limitent également le nombre de SSIDs qu'une seule radio peut diffuser. Un centre comptant 60 enseignes atteint cette limite bien avant de signer son dernier bail.

Le coût opérationnel augmente lui aussi. Chaque SSID possède sa propre passphrase à renouveler, et chaque renouvellement déconnecte simultanément tous les appareils de ce locataire.

De combien de SSIDs un centre commercial a-t-il besoin ?

Trois est le bon chiffre pour la plupart des centres :

1. Réseau invités ouvert pour les visiteurs. Ce réseau utilise un Captive Portal : la page de connexion qu'un appareil voit avant d'accéder à Internet. Consultez les Captive Portals pour découvrir les options de configuration. Le marketing invités sur ce réseau relève de l'offre Purple Engage, et le filtrage DNS s'effectue via Purple Shield.
2. Réseau xPSK pour les locataires. Chaque concession, kiosque et unité locative s'y connecte. Les appareils autonomes du centre, tels que la vidéosurveillance, les contrôleurs de gestion technique du bâtiment et les lecteurs d'affichage dynamique, s'y rejoignent également, chacun avec sa propre clé et son propre VLAN.
3. Réseau sécurisé pour le personnel du centre. Ce réseau utilise la norme 802.1X, le standard IEEE pour l'authentification réseau basée sur les ports. Associez-le à EAP-TLS, qui authentifie chaque appareil à l'aide d'un certificat. Les identités proviennent de Microsoft Entra ID, Okta ou Google Workspace. Les articles EAP TLS vs PEAP: Security, Certs and Fit et Okta WiFi Authentication: Setup Steps, Options and Fixes couvrent cet aspect.

Approche	SSIDs pour 60 locataires	Isolation des locataires	Suppression d'un locataire	Surcharge de balises (beacon overhead)	À qui cela convient-il ?
SSID par locataire	60 SSIDs locataires, au-delà des limites par radio	Un VLAN par SSID	Supprimer ce SSID et reconfigurer les radios	Augmente avec chaque SSID	Centres avec moins de cinq locataires
Une clé partagée pour tous les locataires	1	Aucune : une clé, un VLAN	Changer la clé pour chaque locataire	Un SSID	Aucun centre où les locataires utilisent des caisses
xPSK : une clé et un VLAN par locataire	1	Un VLAN par clé	Révoquer une clé ; les autres restent intactes	Un SSID	Concessions, kiosques et unités avec des appareils autonomes
802.1X par appareil	1	Un VLAN par identité	Révoquer le certificat ou le compte	Un SSID	Locataires disposant d'appareils gérés exécutant un supplicant 802.1X

La norme 802.1X est le modèle le plus robuste lorsque les appareils d'un locataire la prennent en charge. La plupart des parcs de concessions mélangent caisses, terminaux de paiement, tablettes et lecteurs d'affichage. Beaucoup d'entre eux ne peuvent pas exécuter de supplicant 802.1X, xPSK prend donc le relais.

De quoi avez-vous besoin avant de commencer ?

Des points d'accès et une console prenant en charge le PSK multi-clés

Vous n'avez besoin d'aucun nouveau matériel. Purple est une superposition cloud indépendante du matériel dotée d'un RADIUS-as-a-Service, et s'installe au-dessus des points d'accès que vous possédez déjà. Avant de commencer, confirmez que votre modèle et votre firmware prennent en charge le PSK multi-clés avec un VLAN attribué par RADIUS.

Fournisseur	Nom de la fonctionnalité	Console
Cisco Meraki	Identity PSK (iPSK) avec RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone ou RUCKUS One
Juniper Mist	Multi PSK	Tableau de bord cloud Juniper Mist
Ubiquiti UniFi	Private Pre-Shared Keys	Application UniFi Network

Vérifiez un point supplémentaire dans la documentation de votre fournisseur : la prise en charge de WPA3. De nombreuses implémentations xPSK fonctionnent sur WPA2-PSK avec AES. La prise en charge de WPA3-SAE pour plusieurs clés sur un seul SSID varie selon le fournisseur et le firmware. Pour plus de détails sur les configurations Meraki et Mist, consultez PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist.

Un plan VLAN et IP

La norme IEEE 802.1Q utilise un identifiant VLAN de 12 bits, ce qui donne 4 094 VLANs utilisables. Cela couvre amplement n'importe quel centre. Planifiez les éléments suivants avant d'attribuer la première clé :

• Un bloc VLAN réservé aux locataires. Séparez-le des VLAN de gestion, de vidéosurveillance et des visiteurs du centre.
• Un sous-réseau et une plage DHCP par VLAN locataire. Dimensionnez chacun en fonction des équipements déclarés par le locataire, avec une marge pour les ajouts saisonniers.
• Des trunks vers chaque port de commutateur de point d'accès. Chaque VLAN locataire doit atteindre chaque port où un équipement locataire est susceptible de se connecter. En pratique, cela concerne tous les ports du centre.
• Des règles de pare-feu au niveau de la passerelle. Bloquez le trafic de locataire à locataire, bloquez le trafic des locataires vers le centre et autorisez l'accès à Internet. Autorisez le processeur de paiement du locataire et le VPN du siège social là où ils en ont besoin.

Décider qui détient les clés

L'équipe informatique du centre doit émettre chaque clé, et chaque locataire doit désigner un contact unique pour la recevoir. Enregistrez ce contact en face de la clé. Sans cet enregistrement, vous ne pourrez pas savoir qui connaissait la clé si un locataire signale qu'elle a été compromise.

Ensuite, choisissez entre une clé par locataire et une clé par équipement. Une clé par locataire est plus rapide à administrer. Une clé par équipement pour les caisses et les terminaux de paiement est plus sécurisée. Si une tablette d'inventaire disparaît, vous révoquez sa clé et les caisses restent en ligne.

La exigence 2.3.2 de la norme PCI-DSS v4.0 impose que les clés sans fil connectées à l'environnement des données de titulaires de cartes soient modifiées lorsqu'une personne connaissant la clé quitte l'entreprise. Les clés par locataire et par équipement limitent ce changement au groupe le plus restreint possible.

Comment configurer une clé et un VLAN par locataire ?

Créez l'SSID xPSK une seule fois

Créez l'SSID locataire dans votre console d'administration en dirigeant l'authentification RADIUS vers Purple. Utilisez WPA2-PSK avec AES comme référence, et WPA3 si votre équipementier le prend en charge pour les PSK multi-clés. Diffusez l'SSID : masquer le nom d'un réseau n'ajoute aucune sécurité et incite les équipements à le rechercher partout.

La documentation de configuration de Purple pour votre équipementier fournit les paramètres exacts. Suivez-la plutôt que de copier des valeurs depuis un autre site.

Associez chaque clé locataire à son VLAN

Dans Purple, chaque fiche locataire contient une ou plusieurs clés et un ID de VLAN. Lorsqu'un équipement s'authentifie, Purple renvoie le VLAN en utilisant les attributs de tunnel RADIUS standard décrits dans la RFC 3580. Il s'agit de Tunnel-Type, Tunnel-Medium-Type et Tunnel-Private-Group-ID. Le point d'accès place ensuite l'équipement sur ce VLAN.

Définissez des limites de bande passante par locataire

Purple attribue le VLAN. La limite de bande passante s'associe à la politique que votre console applique à ce VLAN, groupe ou rôle. Les politiques de groupe Cisco Meraki et les rôles utilisateurs HPE Aruba intègrent tous deux des limites de débit, et les autres équipementiers proposent des équivalents.

Définissez un ensemble restreint de niveaux, tels que kiosque, boutique standard et magasin phare. Attribuez chaque locataire à un niveau lors de son intégration. Ces niveaux empêchent une boutique diffusant de la vidéo promotionnelle de priver de bande passante les caisses voisine. Ils vous offrent également un levier si un bail inclut des conditions de connectivité.

Intégrer une nouvelle enseigne

Intégrez la procédure d'arrivée dans la liste de contrôle d'aménagement, et non pendant la semaine d'ouverture :

1. Créez la fiche locataire dès la signature du bail. Indiquez le numéro de lot, le contact désigné, les dates de début et de fin de bail, ainsi que le niveau de bande passante.
2. Attribuez un VLAN à partir du bloc locataire et confirmez sa plage DHCP.
3. Appliquez les règles de pare-feu pour ce VLAN, y compris pour les terminaux de paiement ou points de terminaison VPN déclarés par le locataire.
4. Générez la clé ou les clés dans Purple et associez-les au VLAN.
5. Envoyez la clé au contact désigné via un canal chiffré. Ne l'imprimez jamais dans le dossier de bail.
6. Effectuez un test depuis le lot. Connectez un appareil et confirmez qu'il obtient le bon sous-réseau et accède à Internet.
7. Enregistrez l'attribution avec la date, l'émetteur, le destinataire et le VLAN.

Révoquer l'accès lorsqu'un locataire quitte les lieux

Révoquez la clé du locataire à la date de fin du bail et planifiez cette étape dans la liste de contrôle de départ. La révocation bloque immédiatement les nouvelles connexions.

Selon votre plateforme, les appareils déjà connectés peuvent le rester jusqu'à leur reconnexion. Si votre plateforme prend en charge le RADIUS Change of Authorisation (CoA, défini dans le RFC 5176), utilisez-le pour les déconnecter. Sinon, déconnectez les clients à partir de la console du fournisseur.

Laissez le VLAN libéré inutilisé pendant une période de quarantaine avant de le réattribuer. Cela évite qu'un appareil oublié n'apparaisse sur le réseau du locataire suivant. La rigueur appliquée par vos RH pour l'arrivée, la mobilité et le départ des collaborateurs s'applique désormais aux locataires.

Comment vérifier que la segmentation fonctionne ?

Testez chaque nouveau locataire lors de son intégration et contrôlez un échantillon de l'ensemble du parc chaque trimestre :

• Bon VLAN : un appareil utilisant la clé du locataire reçoit une adresse dans le sous-réseau de ce locataire.
• Pas d'accès latéral : depuis un appareil locataire, la passerelle du VLAN d'un locataire voisin ne répond pas.
• Pas d'accès aux systèmes du centre : les sous-réseaux de vidéosurveillance, de gestion technique du bâtiment et du personnel du centre sont inaccessibles.
• Internet fonctionne : le locataire accède à Internet ainsi qu'aux terminaux de paiement ou points de terminaison VPN autorisés.
• La révocation fonctionne : une clé révoquée échoue lors de l'authentification.

Si les caisses des locataires traitent des données de cartes bancaires, l'exigence 11.4.5 de la norme PCI-DSS v4.0 impose des tests de pénétration des contrôles de segmentation au moins une fois tous les 12 mois. Vos résultats trimestriels et le test annuel servent de preuves pour cette exigence. Chaque locataire reste responsable de sa propre évaluation PCI-DSS en tant que commerçant.

Que faut-il journaliser ?

Journalisez suffisamment d'éléments pour répondre à trois questions : qui avait accès, quand, et sur quel VLAN.

• Clé délivrée : locataire, ID de clé, VLAN, émetteur, destinataire et date.
• Clé révoquée : locataire, ID de clé, motif, auteur de la révocation et date.
• Événements d'authentification : ID de clé, adresse MAC de l'appareil, point d'accès, VLAN attribué, horodatage et résultat.
• Modifications des règles de pare-feu par VLAN locataire.

Les adresses MAC d'appareils peuvent constituer des données personnelles sous le GDPR lorsqu'elles peuvent être liées à un individu. Définissez une durée de conservation, documentez-la et supprimez les données dans les délais prévus. Purple détient la certification ISO 27001 et est certifié GDPR et CCPA, ce qui vous fournit des preuves pour vos propres évaluations de fournisseurs. Pour l'ensemble des contrôles plus large, consultez la sécurité WiFi et la sécurité des réseaux invités : un guide pratique pour 2026.

Scénarios appliqués

Ces deux scénarios sont des modèles illustratifs et non des déploiements réels nommés. Les résultats découlent directement de leur conception.

Un centre commercial de 70 lots remplaçant les SSID des locataires

Situation. Le centre diffusait 14 SSID : invité, personnel du centre et 12 SSID locataires créés pour les premiers grands locataires. Les 58 lots restants partageaient un seul mot de passe locataire sur un unique VLAN. Le départ d'un locataire impliquait de changer ce mot de passe pour tous les autres locataires du centre.

Action réalisée. L'équipe informatique a tout regroupé sur trois SSID : invité, personnel du centre sur 802.1X avec EAP-TLS, et un SSID locataire en xPSK. Les 70 lots ont chacun obtenu leur propre clé et VLAN, avec des clés par appareil pour les caisses. L'équipe informatique a migré les 12 locataires basés sur des SSID un par un, en supprimant chaque ancien SSID une fois ses appareils déplacés. La vidéosurveillance et la gestion du bâtiment ont été transférées vers leurs propres clés et VLAN sur le même SSID locataire.

Résultat. Chaque radio est passée de 14 SSID à trois. Les trames d'annonce (beacon) par radio sont passées d'environ 137 par seconde à environ 29. Le départ d'un locataire n'exige plus de modifier les clés de 58 entreprises, mais simplement de révoquer une seule clé. Le trafic entre locataires, auparavant ouvert sur le VLAN partagé, est désormais bloqué au niveau de la passerelle et testé chaque trimestre.

Une halle de marché gérée par la municipalité avec des commerçants le week-end

Situation. Une halle de marché du secteur public accueille 40 étals permanents et jusqu'à 25 commerçants le week-end. Chaque commerçant utilisait un seul mot de passe partagé qui n'avait pas changé depuis des années. Les anciens commerçants pouvaient toujours se connecter depuis le parking.

Action réalisée. Chaque étal permanent a reçu sa propre clé et son propre VLAN. Les commerçants du week-end ont reçu des clés individuelles associées à un VLAN commerçant partagé avec isolation des clients, afin que leurs appareils ne puissent pas communiquer entre eux. Le responsable de garde révoque toutes les clés du week-end dans le cadre de la liste de contrôle de fermeture du dimanche, et de nouvelles clés sont distribuées avec les attributions d'emplacements le samedi.

Résultat. La municipalité est passée d'un unique mot de passe partagé à longue durée de vie à 40 clés permanentes plus jusqu'à 25 clés hebdomadaires. Aucune clé ne survit au départ du commerçant qui la détient. La municipalité a également obtenu un journal de toutes les clés émises et révoquées, ce dont elle ne disposait pas auparavant.

Quels sont les problèmes fréquents et comment les résoudre ?

Symptôme	Cause probable	Solution
L'appareil se connecte mais atterrit sur le VLAN par défaut	La réponse RADIUS manque d'attributs VLAN, ou le SSID ignore le surpassement VLAN de RADIUS	Confirmez l'association clé-VLAN dans Purple, puis activez l'attribution de VLAN par RADIUS sur le SSID
L'appareil se connecte mais n'obtient pas d'adresse IP	Le VLAN du locataire n'est pas routé (trunk) vers le port de commutateur de ce point d'accès, ou il n'y a pas d'étendue DHCP	Ajoutez le VLAN au trunk et confirmez l'étendue DHCP
L'ancienne caisse ou le terminal ne se connecte pas	SSID configuré uniquement sur WPA3 ou Protected Management Frames requis	Utilisez WPA2-PSK avec AES ou le mode de transition WPA2/WPA3 pour ce SSID
Le locataire révoqué est toujours en ligne	La session existante persiste jusqu'à ce que l'équipement se reconnecte	Envoyez une déconnexion CoA ou supprimez le client dans la console du fournisseur
Un locataire peut accéder à un autre	Routage inter-VLAN autorisé sur le commutateur cœur de réseau ou la passerelle	Ajoutez des règles de refus entre les VLAN des locataires et testez à nouveau
Équipements inconnus sur le VLAN d'un locataire	Le locataire a partagé sa clé avec un voisin ou un prestataire	Révoquez cette clé, émettez-en une nouvelle et informez le contact désigné

Combien cela coûte-t-il, et quel est le retour sur investissement ?

Ce que cela coûte. Vous n'avez besoin d'aucun nouveau point d'accès, contrôleur ou commutateur. Vous payez l'abonnement Purple Access, plus le temps d'ingénierie pour le plan VLAN, le trunking et les règles de pare-feu. Ensuite, chaque locataire ne nécessite qu'un enregistrement, un VLAN et une clé lors de son intégration, puis une révocation lors de son départ.

Ce que vous y gagnez.

• Temps d'antenne (Airtime). Un seul SSID locataire remplace un SSID par locataire, ainsi la charge liée aux trames balises (beacons) cesse d'augmenter à chaque nouveau bail.
• Confinement. Une clé compromise ou un départ de locataire n'affecte qu'un seul occupant, pas l'ensemble du centre.
• Preuves de conformité. Les journaux d'émission et de révocation répondent à l'exigence PCI-DSS 2.3.2. Les tests de segmentation répondent à l'exigence 11.4.5.
• Évolutivité. Purple fonctionne sur plus de 80 000 sites actifs et a géré 440 millions de connexions en 2024 (données internes Purple). Un centre de 70 unités ne génère aucune surcharge.

Si le personnel de votre centre partage toujours un seul mot de passe, migrez-le dès maintenant. Le guide Migrer le WiFi du personnel d'un mot de passe partagé vers 802.1X sur un parc multi-site détaille les étapes à suivre. D'autres architectures d'accès sont disponibles dans les Guides d'accès.

Foire aux questions

Cela fonctionne-t-il avec les points d'accès déjà en possession du centre ?

Oui, Purple fonctionne comme une superposition cloud sur les points d'accès que vous possédez déjà, sans rien remplacer. Purple est indépendant des matériels et compatible avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Pour un réseau xPSK locataire, vérifiez que votre modèle et votre firmware prennent en charge le PSK multi-clés avec un VLAN attribué par RADIUS. Meraki nomme cela iPSK, Aruba le nomme MPSK et Ruckus le nomme DPSK.

Les locataires peuvent-ils partager des points d'accès sans partager leurs réseaux ?

Oui, c'est tout l'intérêt d'avoir une clé et un VLAN par locataire. Chaque locataire se connecte au même SSID via les mêmes points d'accès. Chaque clé isole les équipements de ce locataire sur son propre VLAN. Les règles de pare-feu au niveau de la passerelle bloquent ensuite le trafic entre les VLAN des locataires et les systèmes propres du centre. Les boutiques voisines partagent la radio et le temps d'antenne, mais ne partagent jamais un réseau de couche 2.

De combien de SSID un centre commercial a-t-il besoin ?

Trois SSIDs couvrent la plupart des centres. Vous avez besoin d'un réseau invités ouvert avec un Captive Portal pour les clients, et d'un réseau xPSK pour chaque locataire et les appareils sans écran du centre. Ajoutez un réseau 802.1X sécurisé pour le personnel du centre, authentifié via Microsoft Entra ID, Okta ou Google Workspace. Chaque SSID supplémentaire ajoute une charge d'en-tête de balise sur chaque radio, évitez donc d'en créer un par locataire.

Comment supprimer l'accès WiFi d'un locataire lorsqu'il s'en va ?

Vous révoquez la clé de ce locataire dans Purple, et les nouvelles connexions s'arrêtent immédiatement. Intégrez cette révocation dans la liste de contrôle de fin de bail, datée du terme du bail. Les appareils déjà connectés peuvent rester en ligne jusqu'à leur reconnexion. Déconnectez-les avec RADIUS Change of Authorisation si votre plateforme le prend en charge, ou depuis la console du fournisseur. Isolez ensuite le VLAN avant de le réattribuer.

Cela rendra-t-il les caisses de nos locataires conformes à la norme PCI-DSS ?

Non, la conception du réseau ne peut pas à elle seule rendre un commerçant conforme. Chaque locataire reste responsable de son propre diagnostic PCI-DSS. Une clé et un VLAN par locataire vous fournissent toutefois des preuves pour des exigences spécifiques. L'exigence 2.3.2 couvre le changement des clés sans fil lorsque les personnes qui les connaissent s'en vont. L'exigence 11.4.5 couvre les tests d'intrusion annuels des contrôles de segmentation. Partagez les résultats de vos tests de segmentation avec les locataires sur demande.

Pouvons-nous limiter la bande passante de chaque locataire ?

Oui, vous définissez la limite dans votre console fournisseur pour le groupe, le rôle ou le VLAN auquel la clé de chaque locataire est associée. Les politiques de groupe Cisco Meraki et les rôles utilisateurs HPE Aruba intègrent tous deux des limites de débit, et les autres fournisseurs proposent des équivalents. Définissez quelques niveaux, comme kiosque, boutique standard et grand magasin. Attribuez-en un à chaque locataire lors de son intégration afin qu'un seul commerce ne puisse pas priver d'accès les caisses de ses voisins.

Comment migrer depuis un réseau à un SSID par locataire sans interruption de service ?

Vous migrez locataire par locataire, en faisant fonctionner les anciens et les nouveaux réseaux en parallèle. Créez d'abord le SSID xPSK, puis déplacez les appareils d'un locataire vers leur nouvelle clé et leur nouveau VLAN. Supprimez l'ancien SSID de ce locataire une fois que tous les appareils ont été transférés. Commencez par un petit stand pour valider le trunking VLAN et les règles de pare-feu. Planifiez ensuite les unités plus importantes en dehors des heures d'ouverture.