Passpoint vs. portal cativo: quando cada um é o acesso correto

{{asset:header_image.png}}

Escolha um portal cativo se precisar de termos, consentimento e dados próprios de visitantes que você encontra uma única vez. Escolha o Passpoint se as mesmas pessoas retornarem e deverem se conectar automaticamente via IEEE 802.1X, o padrão para acesso autenticado e criptografado. A maioria das propriedades com vários locais precisa de ambos, e o Purple Access executa os dois lado a lado em uma única plataforma.

Passpoint ou portal cativo: qual é a resposta rápida?

A escolha depende de uma pergunta: você já sabe quem é essa pessoa? Se ela já possui uma identidade antes de chegar, o Passpoint é a melhor opção. Essa identidade pode ser uma das seguintes:

• uma conta de funcionário no Microsoft Entra ID
• um registro de estudante
• uma chave de residente
• uma credencial OpenRoaming no celular dela

Se você a encontra pela primeira vez na entrada, o portal cativo é a melhor escolha. O portal é o único ponto onde os termos e o consentimento aparecem na tela.

O que cada um é. O Passpoint é o programa de certificação para o Hotspot 2.0, fundamentado na emenda IEEE 802.11u. Um dispositivo localiza uma rede Passpoint, combina um perfil armazenado e se autentica sem dar um único toque. Um portal cativo é uma página da web que mantém um novo dispositivo em um jardim murado até que o visitante faça login. A arquitetura de portal cativo IETF, RFC 8952, descreve como os dispositivos o detectam e lidam com ele.

Eles realizam tarefas diferentes. O Passpoint substitui a página de login para pessoas em quem você já confia. O portal conquista a confiança de pessoas que você ainda não conhece.

No Purple Access, eles ficam em redes separadas:

• Rede aberta: o portal cativo.
• Rede segura: Passpoint.
• Rede xPSK: uma chave pré-compartilhada exclusiva por dispositivo ou residente, para hardware que não suporta nenhum dos dois.

Em todas as três, a identidade define a VLAN (LAN virtual), o segmento de rede no qual o dispositivo entra.

Quais critérios decidem entre Passpoint ou portal cativo?

Avaliamos ambas as opções com base em oito critérios. Cada um deles se relaciona a uma pergunta que um diretor de TI enfrenta após a implementação. Utilizamos apenas o que o material público de cada opção suporta:

• Passpoint: o programa Passpoint e o material da WBA OpenRoaming.
• Portais cativos: as RFCs do IETF e a documentação do portal do fornecedor.

Os oito critérios:

1. Experiência de conexão. Quantos toques uma pessoa precisa dar na primeira visita e em todas as visitas posteriores.
2. Segurança over-the-air. Se o tráfego entre o dispositivo e o ponto de acesso é criptografado e de que forma.
3. Identidade e segmentação. Quando a rede descobre quem se conectou e se a identidade define a VLAN automaticamente.
4. Consentimento e dados próprios. Se a etapa de conexão pode registrar a aceitação dos termos e a adesão ao marketing (opt-in).
5. Cobertura de dispositivos. Quais dispositivos podem se conectar sem a ajuda da equipe de TI.
6. Roaming. Se um único login é válido em todos os seus locais e redes parceiras.
7. Compatibilidade de hardware. Se os pontos de acesso que você possui oferecem suporte a isso hoje.
8. Carga operacional. O que sua equipe precisa manter semanalmente.

O preço não é um critério aqui. Ambas as opções são executadas como software nos pontos de acesso que você já possui, portanto o custo é uma questão de estrutura. Abordamos isso em uma seção própria abaixo.

Como o Passpoint e o Captive Portal se comparam?

A matriz pontua cada opção em relação aos oito critérios. A coluna Purple Access mostra como executamos ambos em uma única plataforma.

{"caption":"Passpoint vs Captive Portal em oito critérios","asOf":"2026-06-10","columns":[{"key":"c","label":"Critério"},{"key":"p","label":"Captive Portal (rede aberta)"},{"key":"h","label":"Passpoint (rede segura)"},{"key":"u","label":"Purple Access","highlight":true}],"rows":[["Experiência de acesso","Página de login na primeira visita e após a expiração da sessão","Perfil instalado uma vez, depois automático","Ambos: portal no aberto, Passpoint no seguro"],["Segurança over-the-air","Nenhuma no aberto simples; Enhanced Open criptografa sem identidade","WPA2 ou WPA3-Enterprise com 802.1X","EAP-TLS e RADIUS na nuvem na rede segura"],["Identidade e VLAN","Conhecido após o login, função aplicada em seguida","Conhecido antes do primeiro pacote; RADIUS define a VLAN","A identidade define a VLAN em todas as três redes"],["Consentimento e dados","Termos e opt-in na tela ao conectar","Sem página de acesso; termos apenas via Release 3","Opt-ins de escolha consciente; marketing de visitantes no Engage"],["Cobertura de dispositivos","Qualquer dispositivo com um navegador","iOS, Android, Windows e macOS atuais com um perfil","xPSK para dispositivos que não suportam nenhum dos dois"],["Roaming","Novo login a cada local","Um perfil entre locais e mais de 5 milhões de hotspots OpenRoaming","Broker de identidade certificado pela WBA; OpenRoaming gratuito com Connect"],["Compatibilidade de hardware","Configurações de splash no Meraki, Aruba, Ruckus, Mist, UniFi","Configurações de Hotspot 2.0 nos mesmos pontos de acesso, se o firmware permitir","Overlay em nuvem independente de hardware, sem novos pontos de acesso"],["Carga operacional","Páginas de portal, listas de walled garden, peculiaridades de CNA","Certificados, perfis e política RADIUS","Portal, RADIUS na nuvem e EAP-TLS em uma única plataforma"]],"footnote":"Pontuado a partir do material do programa Passpoint e OpenRoaming, IETF RFC 8952 e documentação do fornecedor. Os dados da Purple são dados próprios da Purple.","download":{"filename":"passpoint-vs-captive-portal.csv"}}

A criptografia é a diferença mais gritante

Um SSID aberto simples envia o tráfego entre o dispositivo e o ponto de acesso sem criptografia. O Enhanced Open adiciona criptografia por meio do Opportunistic Wireless Encryption (OWE, RFC 8110), mas não carrega nenhuma identidade.

O Passpoint exige WPA2-Enterprise ou WPA3-Enterprise. Cada sessão é autenticada via 802.1X usando o Extensible Authentication Protocol (EAP). Cada sessão recebe suas próprias chaves.

A identidade chega em momentos diferentes

Com um portal, a rede descobre a identidade tarde. O dispositivo já possui um endereço IP e uma sessão de navegador quando isso acontece.

Com Passpoint, o ponto de acesso faz a checagem primeiro. Ele consulta um servidor RADIUS antes que o dispositivo envie seu primeiro pacote de dados. RADIUS é o protocolo que os pontos de acesso usam para perguntar a um servidor de autenticação se devem admitir um dispositivo.

Essa ordem decide o que você pode aplicar. O RADIUS retorna uma VLAN na autenticação. Um estudante, um prestador de serviços e um residente vão para segmentos diferentes sem precisar de uma segunda etapa.

{"kind":"lanes","direction":"lr","caption":"Dois caminhos de login nos mesmos pontos de acesso","alt":"Um Captive Portal mantém o dispositivo em um jardim murado até o login, enquanto o Passpoint autentica via 802.1X antes do primeiro pacote de dados.","lanes":[{"id":"o","label":"Captive Portal na rede aberta"},{"id":"s","label":"Passpoint na rede segura"}],"nodes":[{"id":"o1","label":"Dispositivo conecta ao SSID aberto","sub":"Sem criptografia, a menos que seja Enhanced Open","lane":"o","tone":"neutral"},{"id":"o2","label":"Jardim murado","sub":"Tráfego retido até a conclusão do portal","lane":"o","tone":"neutral"},{"id":"o3","label":"Login no portal","sub":"Termos, opt-in e identidade capturados","lane":"o","tone":"brand"},{"id":"o4","label":"Acesso concedido","sub":"Função ou VLAN aplicada após o login","lane":"o","tone":"success"},{"id":"s1","label":"Dispositivo lê o beacon","sub":"Consulta ANQP para realm e consórcio de roaming","lane":"s","tone":"neutral"},{"id":"s2","label":"Correspondência de perfil","sub":"Credencial armazenada ou identidade OpenRoaming","lane":"s","tone":"neutral"},{"id":"s3","label":"802.1X para RADIUS na nuvem","sub":"EAP-TLS ou EAP-TTLS, criptografado desde o início","lane":"s","tone":"brand"},{"id":"s4","label":"A identidade define a VLAN","sub":"Sessão WPA2 ou WPA3-Enterprise","lane":"s","tone":"success"}],"edges":[{"from":"o1","to":"o2"},{"from":"o2","to":"o3"},{"from":"o3","to":"o4"},{"from":"s1","to":"s2"},{"from":"s2","to":"s3"},{"from":"s3","to":"s4"},{"from":"o3","to":"s2","label":"Integrar à rede segura","style":"dashed"}]}

Onde o Passpoint se destaca?

Pessoas que retornam todos os dias

Funcionários, estudantes, residentes e membros de coworking conectam-se às mesmas redes diariamente. Um portal pede autenticação novamente sempre que a sessão expira. O Passpoint pede uma única vez, na instalação do perfil, e nunca mais.

Para um usuário, esse é o login de WiFi sem interrupções que ele espera ter em casa. Para o seu suporte técnico, isso elimina as solicitações repetidas de login geradas por chamados no portal.

Criptografia e identidade antes do primeiro pacote

O Passpoint autentica antes de qualquer fluxo de dados. Ele usa EAP-TLS (autenticação baseada em certificado), EAP-TTLS ou métodos baseados em SIM. Sua equipe de segurança obtém evidências sobre quem se conectou, quando e em qual VLAN.

Com a Purple, o RADIUS na nuvem verifica cada credencial em relação ao Microsoft Entra ID, Okta ou Google Workspace. Ao revogar a conta, a Purple revoga o acesso à rede. Entradas, transferências e saídas de funcionários tornam-se políticas automatizadas em vez de chamados manuais. Nosso guia de rede segura para certificados, identidade e Passpoint cobre o modelo completo.

Roaming entre locais, cidades e redes parceiras

A comparação entre OpenRoaming vs portal é mais evidente aqui. Um portal funciona um local de cada vez.

O OpenRoaming adota uma abordagem diferente. A Wireless Broadband Alliance (WBA) o opera para federar redes Passpoint, de modo que uma única identidade funcione em todos os pontos de acesso dos membros. A Purple é uma intermediária de identidade certificada pela WBA, e o OpenRoaming é gratuito por meio da licença Connect.

{"items":[{"value":"5 milhões+","label":"Hotspots OpenRoaming no mundo todo"},{"value":"53.000+","label":"estudantes em roaming em Newcastle","note":"Campus, cidade e bondes"},{"value":"80.000+","label":"locais ativos na Purple","note":"Dados da própria Purple"}]}

{"tone":"proof","title":"Newcastle: a primeira rede OpenRoaming de toda a cidade no mundo","text":"A Purple opera a rede OpenRoaming em toda a cidade de Newcastle. Mais de 53.000 estudantes fazem roaming entre campus, cidade e bondes usando uma única identidade."}

Se a sua equipe de segurança perguntar o que uma rede visitada pode ver, oriente-os para o OpenRoaming é seguro?

Dispositivos que ocultam seu endereço de hardware

O iOS e o Android usam um endereço MAC privado e aleatório por rede por padrão. Um portal que memoriza dispositivos por endereço MAC pode perder o rastreamento deles e solicitar o acesso novamente. O Passpoint autentica a credencial, não o endereço MAC, portanto, a aleatoriedade nunca dispara um novo login.

Onde o Captive Portal se destaca?

Visitantes de primeira viagem e ocasionais

Um hóspede de hotel, um comprador ou um fã em um único evento não possui um perfil em seu telefone. Um portal permite que eles se conectem a partir de qualquer navegador. Pedir para esse hóspede instalar um perfil primeiro adiciona fricção a uma visita que pode nunca mais se repetir.

Consentimento, termos e dados de primeira parte

O portal é o único lugar onde um visitante lê seus termos e opta por aceitá-los de forma consciente. Esse registro serve como evidência de consentimento para a GDPR. Ele também dá início aos dados de primeira parte que sua equipe de marketing utiliza.

O marketing de visitantes da Purple é executado no Engage. Nosso guia de WiFi para visitantes aborda esse aspecto.

O Passpoint Release 3 adiciona uma etapa de aceitação de termos e condições, mas nenhum opt-in de marketing. Veja o que mudou no Passpoint Release 3.

Qualquer dispositivo com um navegador

Os portais não exigem nada do dispositivo além de um navegador. O Passpoint precisa de suporte a um sistema operacional atualizado e de um perfil. Celulares mais antigos, laptops de visitantes e tablets compartilhados muitas vezes se encontram nessa lacuna.

A detecção de portal agora é padronizada. O RFC 8910 permite que a rede anuncie o portal por meio de DHCP. O RFC 8908 define uma API que informa o status do portal. Ambos reduzem as falhas de assistente de rede cativa (CNA) que geram chamados.

Integração à rede segura

A rede aberta também é o local onde você integra dispositivos pessoais à rede segura. Um estudante se conecta uma vez pelo portal e recebe credenciais. A partir daí, ele passa a acessar a rede 802.1X. Usado dessa forma, o portal é a porta de entrada para o Passpoint, não seu concorrente.

{"tone":"warning","title":"Remover o portal remove o opt-in","text":"O Passpoint não possui página no momento da conexão, portanto não pode coletar o opt-in de marketing. Altere um SSID de convidados para apenas Passpoint e os novos dados primários pararão de chegar."}

Quanto custa a execução de cada um?

Nenhuma das opções exige novos pontos de acesso. O custo está nas licenças, na identidade e no tempo da equipe. Descrevemos a estrutura aqui, não os valores.

{"caption":"Quanto custa a execução de cada login: linhas de custo, não valores","asOf":"2026-06-10","columns":[{"key":"c","label":"Linha de custo"},{"key":"p","label":"Captive Portal"},{"key":"h","label":"Passpoint"},{"key":"u","label":"No Purple Access","highlight":true}],"rows":[["Licença de software","Licença da plataforma de portal","RADIUS em nuvem, certificados e ferramentas de perfil","Plano Connect, Capture ou Engage"],["Hardware","Nenhum novo nos pontos de acesso existentes","Nenhum novo; atualização de firmware se o Hotspot 2.0 estiver ausente","Overlay em nuvem agnóstico em relação ao hardware"],["Federação","Não faz parte do fluxo do portal","OpenRoaming opcional por meio de um broker de identidade WBA","OpenRoaming gratuito por meio do Connect"],["Identidade","Login social, e-mail ou formulário","Um diretório do qual você já possui licença","Microsoft Entra ID, Okta, Google Workspace"],["Manutenção de conteúdo","Design de página, texto de termos, listas de walled garden","Modelos de perfil e política RADIUS","Ambos executados em uma única plataforma"],["Trabalho de ciclo de vida","Temporizadores de sessão e logins repetidos","Emissão, renovação e revogação de certificados","Revogação vinculada à conta do diretório"]],"footnote":"Apenas estrutura de custos. Solicite a cada fornecedor os valores de acordo com a quantidade de locais e dispositivos."}

No Purple, o licenciamento ocorre por plano: Connect, Capture e Engage. O OpenRoaming é gratuito por meio da licença do Connect, portanto a federação não é uma linha separada. Os provedores de identidade geralmente são licenças que você já possui. O Passpoint para funcionários e estudantes reutiliza diretórios pelos quais você já paga.

Os custos ocultos diferem:

• Portais custam a manutenção do conteúdo e o suporte para logins repetidos.
• Passpoint custa o trabalho do ciclo de vida do certificado: emissão na entrada, atualização no remanejamento, revogação no desligamento.

Vincule esse ciclo de vida ao diretório e ele funcionará como uma política, não como um trabalho manual.

O que envolve a migração do Captive Portal para o Passpoint?

A migração é aditiva. Você mantém o SSID do portal e adiciona uma rede segura ao lado dele. Não há necessidade de substituição completa nem final de semana de migração crítica.

1. Verifique o firmware quanto ao Hotspot 2.0. Confirme o suporte no painel do Cisco Meraki, no HPE Aruba Central, Ruckus SmartZone, Juniper Mist ou no aplicativo Ubiquiti UniFi Network. Cada fornecedor documenta o Hotspot 2.0 por versão de firmware.
2. Escolha uma fonte de identidade por público. Use o Microsoft Entra ID, Okta ou Google Workspace para funcionários e estudantes. Use o OpenRoaming para visitantes que trazem uma identidade de outro lugar.
3. Configure o RADIUS em nuvem e os certificados. Use EAP-TLS para dispositivos gerenciados e integrados. Escreva a política RADIUS que mapeia cada identidade para sua VLAN.
4. Publique a rede Passpoint. Defina o domínio do Network Access Identifier (NAI), o roaming consortium e o domínio no SSID. Obtenha os valores do seu provedor RADIUS em vez de adivinhá-los.
5. Distribua perfis. Use o gerenciamento de dispositivos móveis (MDM) para dispositivos gerenciados e a rede aberta para dispositivos pessoais. O OpenRoaming atende a todos os outros.
6. Meça a transição. Compare as sessões no Passpoint com as sessões no portal em cada local. Em seguida, ajuste os temporizadores de sessão do portal.

{"tone":"tip","title":"Execute ambos os SSIDs lado a lado","text":"Adicione a rede Passpoint ao lado do SSID do portal existente em vez de substituí-lo. Dispositivos sem um perfil mantêm o portal; dispositivos com perfil migram por conta própria."}

Dois guias aprofundam essas etapas:

• Tornando-se um provedor de rede de acesso OpenRoaming, para aceitar identidades OpenRoaming de visitantes em seus locais.
• Comparativo de suporte a dispositivos Passpoint, para saber como iOS, Android, Windows e macOS lidam com perfis.

Como você deve decidir?

Aqui está a regra de decisão. Use o portal quando o relacionamento começar na porta. Use o Passpoint quando ele tiver começado antes de o visitante chegar. Aplique a regra por público, não por propriedade.

{"title":"Passpoint ou Captive Portal: qual se adapta a cada público","options":[{"name":"Captive Portal","fitsWhen":["Você encontra a maioria dos visitantes apenas uma vez","Você precisa de termos de uso e opt-in de marketing no momento da conexão","Os visitantes trazem dispositivos que você não pode provisionar antecipadamente"],"notWhen":["Os mesmos funcionários, alunos ou residentes se conectam diariamente","Sua política exige criptografia em todas as conexões"]},{"name":"Passpoint","fitsWhen":["As pessoas retornam e já possuem uma identidade","Você precisa de criptografia e identidade antes do primeiro pacote","Você deseja um único login em vários locais e parceiros OpenRoaming"],"notWhen":["Seu objetivo principal são dados primários de visitantes de primeira viagem","Os dispositivos não podem armazenar um perfil"]},{"name":"Ambos no Purple Access","fitsWhen":["Sua propriedade mistura convidados, funcionários, alunos e residentes","Você quer que a rede aberta realize o onboarding de dispositivos para a rede segura"],"notWhen":["Todos os dispositivos no local são gerenciados e pertencem aos funcionários"]}],"recommendation":"Mantenha o portal onde você encontra as pessoas pela primeira vez e migre todos que você já conhece para o Passpoint."}

Seu próximo passo é listar seus públicos local por local: convidados, funcionários, alunos, residentes, membros e prestadores de serviço. Marque quais já possuem uma identidade. Esses grupos migram para o Passpoint, e o restante mantém o portal. Em seguida, veja como o Passpoint e o OpenRoaming funcionam no Purple Access.

Perguntas frequentes

O Passpoint é mais seguro do que um Captive Portal?

Sim, pelo ar. O Passpoint exige WPA2-Enterprise ou WPA3-Enterprise com 802.1X, para que cada sessão seja autenticada e criptografada antes do fluxo de dados. Um SSID aberto simples com um portal não criptografa nada entre o dispositivo e o ponto de acesso. O Enhanced Open adiciona criptografia, mas nenhuma identidade. Um portal ainda fornece evidências de consentimento, o que o Passpoint não pode fazer. Para especificidades do OpenRoaming, leia o OpenRoaming é seguro?

O Passpoint funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi?

Sim. Cada um dos cinco documenta as configurações do Hotspot 2.0 no SSID, sujeito à versão do controlador e do firmware. O Purple adiciona RADIUS em nuvem e identidade como uma sobreposição em nuvem independente de hardware, para que você não precise de novos pontos de acesso. Verifique as notas de firmware de cada fornecedor para o Hotspot 2.0 antes de publicar a rede. Atualize primeiro todos os locais que executam versões mais antigas.

Posso coletar consentimento de marketing com o Passpoint?

Não. O Passpoint não possui uma página no momento da conexão, portanto não pode apresentar uma opção de adesão de marketing. O Release 3 adiciona a aceitação dos termos, mas não o consentimento para marketing. Mantenha um portal cativo na rede aberta para visitantes de primeira viagem, onde as adesões por escolha consciente criam dados próprios. O marketing de convidados do Purple é executado no Engage. Os visitantes que retornam podem ser transferidos para o Passpoint, e você mantém os registros de consentimento que já possui.

Quanto custa o OpenRoaming com o Purple?

O OpenRoaming é gratuito por meio da licença Connect do Purple. Você não precisa orçar uma linha de federação separada. O Purple é um agente de identidade certificado da WBA, portanto, seus locais se juntam a uma federação de mais de 5 milhões de hotspots em todo o mundo por meio do seu contrato com o Purple. A sua escolha de plano (Connect, Capture ou Engage) define o restante do custo. O OpenRoaming não.

Posso executar o Passpoint e um portal cativo nos mesmos pontos de acesso?

Sim. Eles são executados como SSIDs separados nos mesmos rádios: uma rede aberta com o portal e uma rede segura com Hotspot 2.0 ativado. O Purple executa redes abertas, seguras e xPSK em uma única plataforma, e a identidade define o VLAN em cada uma. Mantenha a contagem de SSID baixa. Cada SSID extra adiciona sobrecarga de beacon em todos os rádios.

Quanto esforço exige a migração de um portal cativo para o Passpoint?

Menos do que um projeto de hardware, porque você não substitui nada. O trabalho está na identidade e na política. Você escolhe um diretório por público, estabelece RADIUS e certificados na nuvem, ativa o Hotspot 2.0 e distribui perfis. O portal permanece ativo durante todo o processo, portanto não há interrupção. A maior parte do esforço reside na distribuição de perfis, o que depende de quantos dispositivos você gerencia por meio de MDM.

Um portal cativo fornece evidências de auditoria para GDPR?

Ele fornece evidências de consentimento, desde que a adesão seja uma escolha consciente e você a registre. O portal exibe os termos e captura a aceitação no momento da conexão. O Purple possui certificação ISO 27001 e Cyber Essentials, o que dá suporte à sua avaliação de fornecedores. O Passpoint fornece um tipo diferente de evidência: uma identidade autenticada e VLAN para cada sessão.

Quais dispositivos oferecem suporte ao Passpoint?

As versões atuais do iOS, Android, Windows e macOS oferecem suporte ao Passpoint, mas cada um instala e gerencia perfis de maneira diferente. Telefones mais antigos e dispositivos sem interface gráfica (headless) geralmente não possuem suporte ou não têm como instalar um perfil. O xPSK se adapta a esses casos, oferecendo a cada dispositivo ou residente sua própria chave em uma rede segmentada. Para obter detalhes sobre as plataformas, leia Comparativo de suporte a dispositivos Passpoint.