Passpoint vs portale captive: quando scegliere l'una o l'altra modalità di accesso

{{asset:header_image.png}}

Scegliere un portale captive se si necessita di termini, consenso e dati di prima parte da parte dei visitatori incontrati una sola volta. Scegliere Passpoint se le stesse persone ritornano e devono connettersi automaticamente tramite IEEE 802.1X, lo standard per l'accesso autenticato e crittografato. La maggior parte delle proprietà multi-sito necessita di entrambi, e Purple Access li esegue affiancati su un'unica piattaforma.

Passpoint o portale captive: qual è la risposta breve?

La scelta si riduce a una domanda: si conosce già l'identità di questa persona? Se possiede già un'identità prima del suo arrivo, vince Passpoint. Tale identità potrebbe essere una delle seguenti:

• un account del personale in Microsoft Entra ID
• un record dello studente
• una chiave del residente
• una credenziale OpenRoaming sul proprio telefono

Se la persona viene incontrata per la prima volta all'ingresso, vince un portale captive. Il portale è l'unico punto in cui i termini e il consenso appaiono sullo schermo.

Che cos'è ciascuna opzione. Passpoint è il programma di certificazione per Hotspot 2.0, che si basa sull'emendamento IEEE 802.11u. Un dispositivo individua una rete Passpoint, la abbina a un profilo memorizzato e si autentica senza toccare nulla. Un portale captive è una pagina web che trattiene un nuovo dispositivo in un walled garden finché il visitatore non effettua l'accesso. L'architettura del portale captive IETF RFC 8952 descrive il modo in cui i dispositivi lo rilevano e lo gestiscono.

Svolgono ruoli diversi. Passpoint sostituisce la pagina di login per le persone di cui ci si fida già. Il portale guadagna la fiducia delle persone che non si conoscono ancora.

Su Purple Access risiedono su reti separate:

• Rete aperta: il portale captive.
• Rete sicura: Passpoint.
• Rete xPSK: una chiave precondivisa univoca per dispositivo o residente, per l'hardware che non supporta nessuna delle due opzioni.

Su tutte e tre, l'identità definisce la VLAN (VLAN), il segmento di rete su cui atterra un dispositivo.

Quali criteri determinano la scelta tra Passpoint e portale captive?

Abbiamo valutato entrambe le opzioni in base a otto criteri. Ciascuno corrisponde a un quesito che un direttore IT si trova ad affrontare dopo l'implementazione. Abbiamo utilizzato solo quanto supportato dal materiale pubblico di ciascuna opzione:

• Passpoint: il programma Passpoint e il materiale WBA OpenRoaming.
• Portali captive: gli RFC IETF e la documentazione del portale del fornitore.

Gli otto criteri:

1. Esperienza di connessione. Il numero di passaggi necessari al primo accesso e a ogni accesso successivo.
2. Sicurezza via radio. Se il traffico tra il dispositivo e il punto di accesso è crittografato e in che modo.
3. Identità e segmentazione. Quando la rete rileva chi si è connesso e se l'identità imposta automaticamente la VLAN.
4. Consenso e dati di prima parte. Se la fase di connessione può registrare l'accettazione dei termini e il consenso al marketing.
5. Copertura dei dispositivi. Quali dispositivi possono connettersi senza l'aiuto dell'IT.
6. Roaming. Se un singolo accesso si estende a tutti i siti e alle reti partner.
7. Idoneità dell'hardware. Se i punti di accesso in vostro possesso lo supportano già oggi.
8. Carico operativo. Ciò che il team deve mantenere di settimana in settimana.

Il prezzo non è un criterio in questo contesto. Entrambe le opzioni funzionano come software su access point già in tuo possesso, quindi il costo è una questione di struttura. Ne parliamo in una sezione dedicata qui sotto.

Come si confrontano Passpoint e Captive Portal?

La matrice valuta ciascuna opzione in base ai otto criteri. La colonna Purple Access mostra come gestiamo entrambe le opzioni su un'unica piattaforma.

{"caption":"Passpoint vs Captive Portal su otto criteri","asOf":"2026-06-10","columns":[{"key":"c","label":"Criterio"},{"key":"p","label":"Captive Portal (rete aperta)"},{"key":"h","label":"Passpoint (rete sicura)"},{"key":"u","label":"Purple Access","highlight":true}],"rows":[["Esperienza di connessione","Pagina di accesso alla prima visita e alla scadenza della sessione","Profilo installato una volta sola, poi automatico","Entrambi: portal su rete aperta, Passpoint su rete sicura"],["Sicurezza via etere","Nessuna su rete aperta standard; Enhanced Open crittografa senza identità","WPA2 o WPA3-Enterprise con 802.1X","EAP-TLS e RADIUS in cloud sulla rete sicura"],["Identità e VLAN","Nota dopo l'accesso, ruolo applicato in quel momento","Nota prima del primo pacchetto; RADIUS imposta la VLAN","L'identità imposta la VLAN su tutte e tre le reti"],["Consenso e dati","Termini e opt-in sullo schermo al momento della connessione","Nessuna pagina di connessione; termini solo tramite Release 3","Opt-in con scelta consapevole; marketing per gli ospiti in Engage"],["Copertura dispositivi","Qualsiasi dispositivo dotato di browser","iOS, Android, Windows e macOS attuali con un profilo","xPSK per i dispositivi che non supportano nessuno dei due"],["Roaming","Nuovo accesso in ogni sede","Un unico profilo tra diverse sedi e oltre 5 milioni di hotspot OpenRoaming","Broker d'identità certificato WBA; OpenRoaming gratuito con Connect"],["Compatibilità hardware","Impostazioni splash su Meraki, Aruba, Ruckus, Mist, UniFi","Impostazioni Hotspot 2.0 sugli stessi access point, firmware permettendo","Overlay cloud indipendente dall'hardware, nessun nuovo access point"],["Carico operativo","Pagine portal, elenchi walled garden, particolarità CNA","Certificati, profili e policy RADIUS","Portal, RADIUS in cloud ed EAP-TLS in un'unica piattaforma"]],"footnote":"Valutazioni tratte dal materiale del programma Passpoint e OpenRoaming, IETF RFC 8952 e documentazione dei fornitori. I dati Purple sono dati proprietari di Purple.","download":{"filename":"passpoint-vs-captive-portal.csv"}}

La crittografia è la differenza più netta

Un SSID aperto standard invia il traffico tra il dispositivo e l'access point senza crittografia. Enhanced Open aggiunge la crittografia tramite Opportunistic Wireless Encryption (OWE, RFC 8110), ma non trasporta alcuna identità.

Passpoint richiede WPA2-Enterprise o WPA3-Enterprise. Ogni sessione si autentica tramite 802.1X utilizzando l'Extensible Authentication Protocol (EAP). Ogni sessione ottiene le proprie chiavi.

L'identità arriva in momenti diversi

Con un portal, la rete apprende l'identità in un secondo momento. Il dispositivo possiede già un indirizzo IP e una sessione browser quando ciò avviene.

Con Passpoint, l'access point esegue prima i controlli. Interroga un server RADIUS prima che il dispositivo invii il suo primo pacchetto dati. RADIUS è il protocollo utilizzato dagli access point per chiedere a un server di autenticazione se ammettere un dispositivo.

Questo ordine stabilisce ciò che puoi applicare. RADIUS restituisce una VLAN al momento dell'autenticazione. Uno studente, un fornitore e un residente finiscono su segmenti diversi senza bisogno di un secondo passaggio.

{"kind":"lanes","direction":"lr","caption":"Two sign-in paths on the same access points","alt":"A captive portal holds the device in a walled garden until sign-in, while Passpoint authenticates over 802.1X before the first data packet.","lanes":[{"id":"o","label":"Captive portal on the open network"},{"id":"s","label":"Passpoint on the secure network"}],"nodes":[{"id":"o1","label":"Device joins open SSID","sub":"No encryption unless Enhanced Open","lane":"o","tone":"neutral"},{"id":"o2","label":"Walled garden","sub":"Traffic held until the portal is completed","lane":"o","tone":"neutral"},{"id":"o3","label":"Portal sign-in","sub":"Terms, opt-in and identity captured","lane":"o","tone":"brand"},{"id":"o4","label":"Access granted","sub":"Role or VLAN applied after sign-in","lane":"o","tone":"success"},{"id":"s1","label":"Device reads beacon","sub":"ANQP query for realm and roaming consortium","lane":"s","tone":"neutral"},{"id":"s2","label":"Profile match","sub":"Stored credential or OpenRoaming identity","lane":"s","tone":"neutral"},{"id":"s3","label":"802.1X to cloud RADIUS","sub":"EAP-TLS or EAP-TTLS, encrypted from the start","lane":"s","tone":"brand"},{"id":"s4","label":"Identity sets the VLAN","sub":"WPA2 or WPA3-Enterprise session","lane":"s","tone":"success"}],"edges":[{"from":"o1","to":"o2"},{"from":"o2","to":"o3"},{"from":"o3","to":"o4"},{"from":"s1","to":"s2"},{"from":"s2","to":"s3"},{"from":"s3","to":"s4"},{"from":"o3","to":"s2","label":"Onboard to secure","style":"dashed"}]}

Dove vince Passpoint?

Persone che ritornano ogni giorno

Dipendenti, studenti, residenti e membri di spazi di coworking accedono quotidianamente alle stesse reti. Un portale richiede loro l'accesso ogni volta che la sessione scade. Passpoint lo richiede una sola volta, all'installazione del profilo, e mai più.

Per un membro, questo rappresenta il login WiFi fluido che si aspetterebbe a casa. Per il tuo helpdesk, elimina le richieste di accesso ripetute che generano la maggior parte dei ticket legati al portale.

Crittografia e identità prima del primo pacchetto

Passpoint autentica prima che vengano inviati i dati. Utilizza EAP-TLS (autenticazione basata su certificato), EAP-TTLS o metodi basati su SIM. Il tuo team di sicurezza ottiene prove su chi si è connesso, quando e su quale VLAN.

Con Purple, il RADIUS in cloud verifica ogni credenziale rispetto a Microsoft Entra ID, Okta o Google Workspace. Revoca l'account e Purple revocherà l'accesso alla rete. La gestione di nuovi ingressi, cambi di ruolo e uscite diventa una semplice regola di policy anziché una serie di ticket. La nostra guida sulle reti sicure per certificati, identità e Passpoint descrive l'intero modello.

Roaming tra sedi, città e reti partner

Il confronto tra OpenRoaming e portale è qui ancora più evidente. Un portale funziona per una singola sede alla volta.

OpenRoaming adotta un approccio diverso. La Wireless Broadband Alliance (WBA) lo gestisce per federare le reti Passpoint, consentendo a un'unica identità di funzionare in ogni hotspot membro. Purple è un identity broker certificato WBA e OpenRoaming è gratuito tramite la licenza Connect.

{"items":[{"value":"Oltre 5 milioni","label":"Hotspot OpenRoaming nel mondo"},{"value":"Oltre 53.000","label":"Studenti in roaming a Newcastle","note":"Campus, città e tram"},{"value":"Oltre 80.000","label":"Sedi attive su Purple","note":"Dati proprietari di Purple"}]}

{"tone":"proof","title":"Newcastle: la prima rete OpenRoaming a livello cittadino nel mondo","text":"Purple gestisce la rete OpenRoaming a livello cittadino di Newcastle. Più di 53.000 studenti navigano tra campus, città e tram utilizzando una sola identità."}

Se il tuo team di sicurezza chiede cosa possa vedere una rete visitata, indirizzalo a OpenRoaming è sicuro?

Dispositivi che nascondono il proprio indirizzo hardware

iOS e Android utilizzano di default un indirizzo MAC privato e casuale per ciascuna rete. Un portale che memorizza i dispositivi in base all'indirizzo MAC può perderne le tracce e richiedere nuovamente l'accesso. Passpoint autentica la credenziale, non l'indirizzo MAC, garantendo che la casualizzazione non richieda mai un nuovo accesso.

Dove vince un Captive Portal?

Visitatori al primo accesso o occasionali

Un ospite di un hotel, un acquirente o un tifoso a un singolo evento non ha alcun profilo sul proprio telefono. Un portale consente loro di connettersi da qualsiasi browser. Richiedere a quell'ospite di installare prima un profilo aggiunge ostacoli a una visita che potrebbe non ripetersi mai.

Consenso, termini e dati di prima parte

Il portale è l'unico luogo in cui un visitatore legge i tuoi termini ed esprime un consenso consapevole. Tale registrazione costituisce la prova del consenso ai sensi del GDPR. Avvia inoltre la raccolta di dati di prima parte utilizzati dal tuo team di marketing.

Il marketing per gli ospiti di Purple è gestito in Engage. La nostra guida al guest WiFi approfondisce questo aspetto.

Passpoint Release 3 aggiunge un passaggio di accettazione dei termini e delle condizioni, ma nessun opt-in di marketing. Consulta cosa è cambiato in Passpoint Release 3.

Qualsiasi dispositivo dotato di browser

I portali non richiedono nulla al dispositivo oltre a un browser. Passpoint richiede un sistema operativo aggiornato e un profilo. I telefoni più datati, i laptop dei visitatori e i tablet condivisi spesso rientrano in questa limitazione.

Il rilevamento del portale è ormai standardizzato. L'RFC 8910 consente alla rete di annunciare il portale tramite DHCP. L'RFC 8908 definisce un'API che segnala lo stato del portale. Entrambi riducono i problemi del Captive Network Assistant (CNA) che generano ticket di supporto.

Onboarding verso la rete sicura

La rete aperta è anche il luogo in cui effettui l'onboarding dei dispositivi personali verso la rete sicura. Uno studente effettua l'accesso una volta tramite il portale e riceve le credenziali. Da quel momento in poi, si connette alla rete 802.1X. Utilizzato in questo modo, il portale è la porta d'ingresso a Passpoint, non un suo rivale.

{"tone":"warning","title":"Rimuovere il portale rimuove il consenso opt-in","text":"Passpoint non ha una pagina al momento dell'accesso, quindi non può raccogliere un consenso opt-in di marketing. Se si passa un SSID ospiti solo a Passpoint, i nuovi dati di prima parte smetteranno di arrivare."}

Quanto costa la gestione di ciascuna opzione?

Nessuna delle due opzioni richiede nuovi access point. Il costo riguarda licenze, identità e tempo del personale. Descriviamo qui la struttura, non gli importi.

{"caption":"Costi di gestione per ciascun accesso: voci di costo, non importi","asOf":"2026-06-10","columns":[{"key":"c","label":"Voce di costo"},{"key":"p","label":"Captive Portal"},{"key":"h","label":"Passpoint"},{"key":"u","label":"Su Purple Access","highlight":true}],"rows":[["Licenza software","Licenza piattaforma portale","RADIUS cloud, certificati e strumenti di profilo","Piano Connect, Capture o Engage"],["Hardware","Nessun nuovo hardware su access point esistenti","Nessun nuovo hardware; aggiornamento firmware se Hotspot 2.0 è assente","Overlay cloud indipendente dall'hardware"],["Federazione","Non fa parte di un flusso portale","OpenRoaming opzionale tramite un identity broker WBA","OpenRoaming gratuito tramite Connect"],["Identità","Accesso tramite social, e-mail o modulo","Una directory di cui si possiede già la licenza","Microsoft Entra ID, Okta, Google Workspace"],["Manutenzione contenuti","Design della pagina, testo dei termini, elenchi walled garden","Template di profilo e policy RADIUS","Entrambi gestiti in un'unica piattaforma"],["Gestione del ciclo di vita","Timer di sessione e accessi ripetuti","Emissione, rinnovo e revoca dei certificati","Revoca collegata all'account della directory"]],"footnote":"Solo struttura dei costi. Richiedere a ciascun fornitore gli importi in base al sito e al numero di dispositivi."}

Su Purple, le licenze variano in base al piano: Connect, Capture ed Engage. OpenRoaming è incluso gratuitamente con la licenza Connect, quindi la federazione non costituisce una voce separata. Gli Identity Provider sono solitamente licenze già in possesso. Passpoint per personale e studenti riutilizza le directory per cui si paga già.

I costi nascosti differiscono:

• I portali comportano costi per la manutenzione dei contenuti e l'assistenza per i login ripetuti.
• Passpoint comporta costi per la gestione del ciclo di vita dei certificati: emissione ai nuovi ingressi, aggiornamento ai cambi di ruolo, revoca alle uscite.

Collegando tale ciclo di vita alla directory, questo verrà eseguito come policy e non come attività manuale.

Cosa comporta il passaggio da Captive Portal a Passpoint?

Il passaggio è additivo. Si mantiene l'SSID del portale e si aggiunge una rete sicura al suo fianco. Non è necessaria alcuna sostituzione completa e nessun weekend di migrazione.

1. Verificare il firmware per Hotspot 2.0. Confermare il supporto nel dashboard Cisco Meraki, HPE Aruba Central, Ruckus SmartZone, Juniper Mist o nell'applicazione Ubiquiti UniFi Network. Ciascun fornitore documenta Hotspot 2.0 per ogni versione del firmware.
2. Scegliere una sorgente di identità per ciascun pubblico. Utilizzare Microsoft Entra ID, Okta o Google Workspace per personale e studenti. Utilizzare OpenRoaming per i visitatori in possesso di un'identità fornita da terzi.
3. Configurare RADIUS cloud e certificati. Utilizzare EAP-TLS per i dispositivi gestiti e integrati. Creare la policy RADIUS che mappa ciascuna identità alla relativa VLAN.
4. Pubblica la rete Passpoint. Imposta il realm NAI (Network Access Identifier), il roaming consortium e il dominio sull'SSID. Prendi i valori dal tuo provider RADIUS anziché ipotizzarli.
5. Distribuisci i profili. Utilizza un sistema di gestione dei dispositivi mobili (MDM) per i dispositivi gestiti e la rete aperta per i dispositivi personali. OpenRoaming coprirà tutti gli altri.
6. Misura il passaggio. Confronta le sessioni su Passpoint con le sessioni sul portale in ciascun sito. Quindi regola i timer di sessione del portale.

{"tone":"tip","title":"Esegui entrambi gli SSID affiancati","text":"Aggiungi la rete Passpoint accanto all'SSID del portale esistente anziché sostituirla. I dispositivi senza profilo mantengono il portale; quelli con un profilo si spostano autonomamente."}

Due guide approfondiscono questi passaggi:

• Diventare un provider di reti di accesso OpenRoaming, per accettare le identità OpenRoaming dei visitatori presso le tue sedi.
• Supporto dei dispositivi Passpoint a confronto, per comprendere come iOS, Android, Windows e macOS gestiscono i profili.

Come dovresti decidere?

Ecco la regola decisionale. Usa il portale quando la relazione inizia alla porta d'ingresso. Usa Passpoint quando la relazione è iniziata prima dell'arrivo del visitatore. Applica la regola per tipo di pubblico, non per singola struttura.

{"title":"Passpoint o Captive Portal: quale si adatta a ciascun pubblico","options":[{"name":"Captive portal","fitsWhen":["Incontri la maggior parte dei visitatori una sola volta","Hai bisogno dell'accettazione dei termini e dell'opt-in di marketing al momento della connessione","I visitatori utilizzano dispositivi che non puoi configurare in anticipo"],"notWhen":["Gli stessi dipendenti, studenti o residenti si connettono quotidianamente","La tua politica richiede la crittografia su ogni connessione"]},{"name":"Passpoint","fitsWhen":["Le persone ritornano e possiedono già un'identità","Hai bisogno di crittografia e identità prima del primo pacchetto di dati","Desideri un unico accesso tra più sedi e partner OpenRoaming"],"notWhen":["Il tuo obiettivo principale è raccogliere dati proprietari dai visitatori che accedono per la prima volta","I dispositivi non possono ospitare un profilo"]},{"name":"Entrambi su Purple Access","fitsWhen":["La tua struttura accoglie un mix di ospiti, personale, studenti e residenti","Vuoi che la rete aperta consenta la registrazione dei dispositivi sulla rete sicura"],"notWhen":["Tutti i dispositivi presenti nella sede sono gestiti e di proprietà del personale"]}],"recommendation":"Mantieni il portale dove incontri le persone per la prima volta e sposta su Passpoint tutti coloro che già conosci."}

Il tuo prossimo passo è elencare il pubblico sito per sito: ospiti, personale, studenti, residenti, membri e fornitori. Contrassegna chi possiede già un'identità. Tali gruppi passeranno a Passpoint, mentre gli altri continueranno a usare il portale. Successivamente, scopri come Passpoint e OpenRoaming funzionano su Purple Access.

Domande frequenti

Passpoint è più sicuro di un Captive Portal?

Sì, via etere. Passpoint richiede WPA2-Enterprise o WPA3-Enterprise con 802.1X, pertanto ogni sessione viene autenticata e crittografata prima del passaggio dei dati. Una semplice rete SSID aperta con portale non crittografa nulla tra dispositivo e access point. Enhanced Open aggiunge la crittografia ma non l'identità. Un portale fornisce comunque la prova del consenso, cosa che Passpoint non può fare. Per le specifiche di OpenRoaming, consultare l'articolo OpenRoaming è sicuro?

Passpoint funziona su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi?

Sì. Ognuno dei cinque documenta le impostazioni di Hotspot 2.0 sul SSID, in base alla versione del controller e del firmware. Purple aggiunge l'identità e RADIUS cloud come overlay cloud indipendente dall'hardware, evitando così la necessità di acquistare nuovi access point. Prima di pubblicare la rete, verificare le note sul firmware di ciascun produttore relative a Hotspot 2.0. Aggiornare preventivamente i siti che eseguono release più datate.

È possibile raccogliere il consenso al marketing con Passpoint?

No. Passpoint non presenta alcuna pagina al momento della connessione, pertanto non può mostrare l'opt-in al marketing. La Release 3 aggiunge l'accettazione dei termini, ma non il consenso al marketing. È consigliabile mantenere un portale captive sulla rete aperta per i nuovi visitatori, in cui gli opt-in effettuati tramite una scelta consapevole generano dati di prima parte. Il marketing per gli ospiti di Purple viene eseguito in Engage. I visitatori abituali potranno poi passare a Passpoint, mantenendo i registri del consenso già acquisiti.

Quanto costa OpenRoaming con Purple?

OpenRoaming è gratuito tramite la licenza Connect di Purple. Non occorre preventivare una voce di spesa separata per la federazione. Purple è un identity broker certificato WBA, quindi i Suoi siti si uniscono a una federazione di oltre 5 milioni di hotspot in tutto il mondo attraverso il contratto Purple esistente. La scelta del piano (Connect, Capture o Engage) stabilisce la parte restante del costo, a differenza di OpenRoaming.

È possibile eseguire Passpoint e un portale captive sugli stessi access point?

Sì. Vengono eseguiti come SSID separati sulle stesse frequenze radio: una rete aperta con portale e una rete sicura con Hotspot 2.0 abilitato. Purple gestisce reti aperte, sicure e xPSK su un'unica piattaforma, e l'identità definisce la VLAN su ciascuna di esse. Si raccomanda di mantenere basso il numero di SSID. Ogni SSID aggiuntivo comporta un overhead di beacon su tutte le frequenze radio.

Quanto sforzo richiede il passaggio da un portale captive a Passpoint?

Meno di un intervento hardware, perché non occorre sostituire nulla. Il lavoro riguarda l'identità e i criteri. È sufficiente scegliere una directory per ogni gruppo di utenti, configurare RADIUS cloud e certificati, abilitare Hotspot 2.0 e distribuire i profili. Il portale rimane attivo per tutto il tempo, quindi non si verifica alcuna interruzione. La maggior parte dello sforzo risiede nella distribuzione dei profili, che dipende dal numero di dispositivi gestiti tramite MDM.

Un portale captive fornisce elementi di audit probatori per GDPR?

Fornisce la prova del consenso, a condizione che l'opt-in sia una scelta consapevole e venga registrato. Il portale mostra i termini e acquisisce l'accettazione al momento della connessione. Purple possiede le certificazioni ISO 27001 e Cyber Essentials, a supporto della valutazione dei fornitori. Passpoint fornisce un tipo di prova differente: un'identità autenticata e una VLAN per ogni sessione.

Quali dispositivi supportano Passpoint?

Le versioni attuali di iOS, Android, Windows e macOS supportano Passpoint, ma ognuna di esse installa e gestisce i profili in modo diverso. I telefoni più datati e i dispositivi privi di interfaccia utente (headless) spesso non offrono supporto o non dispongono di un metodo per installare un profilo. È qui che si inserisce xPSK, fornendo a ciascun dispositivo o residente la propria chiave su una rete segmentata. Per ulteriori dettagli sulle piattaforme, consulti la pagina Passpoint device support compared.