Passpoint vs portal cativo: quando utilizar cada tipo de início de sessão

{{asset:header_image.png}}

Escolha um portal cativo se precisar de termos, consentimento e dados próprios de visitantes que encontra apenas uma vez. Escolha o Passpoint se as mesmas pessoas regressarem e deverem ligar-se automaticamente via IEEE 802.1X, o padrão para acesso autenticado e encriptado. A maioria das propriedades com vários locais precisa de ambos, e o Purple Access executa-os lado a lado numa única plataforma.

Passpoint ou portal cativo: qual é a resposta curta?

A escolha resume-se a uma questão: já sabe quem é esta pessoa? Se ela já possuir uma identidade antes de chegar, o Passpoint ganha. Essa identidade pode ser uma das seguintes:

• uma conta de colaborador no Microsoft Entra ID
• um registo de estudante
• uma chave de residente
• uma credencial OpenRoaming no seu telemóvel

Se a encontrar pela primeira vez à entrada, o portal cativo ganha. O portal é o único ponto onde os termos e o consentimento aparecem no ecrã.

O que é cada um. O Passpoint é o programa de certificação para o Hotspot 2.0, baseado na adenda IEEE 802.11u. Um dispositivo encontra uma rede Passpoint, corresponde a um perfil armazenado e autentica-se sem dar um único toque. Um portal cativo é uma página web que retém um novo dispositivo num jardim murado até que o visitante inicie sessão. A arquitetura de portal cativo IETF, RFC 8952, descreve como os dispositivos o detetam e gerem.

Desempenham funções diferentes. O Passpoint substitui a página de início de sessão para as pessoas em quem já confia. O portal ganha a confiança das pessoas que ainda não conhece.

No Purple Access, estes residem em redes separadas:

• Rede aberta: o portal cativo.
• Rede segura: o Passpoint.
• Rede xPSK: uma chave pré-partilhada única por dispositivo ou residente, para hardware que não suporta nenhuma das opções anteriores.

Em todas as três, a identidade define a VLAN (LAN virtual), o segmento de rede onde o dispositivo entra.

Que critérios decidem entre o Passpoint e o portal cativo?

Avaliámos ambas as opções com base em oito critérios. Cada um corresponde a uma pergunta que um diretor de TI enfrenta após a implementação. Utilizámos apenas o que o material público de cada opção suporta:

• Passpoint: o programa Passpoint e o material WBA OpenRoaming.
• Portais cativos: os RFCs da IETF e a documentação de portais dos fornecedores.

Os oito critérios:

1. Experiência de adesão. De quantos toques uma pessoa precisa na primeira visita e em todas as visitas seguintes.
2. Segurança de transmissão sem fios. Se o tráfego entre o dispositivo e o ponto de acesso é encriptado e de que forma.
3. Identidade e segmentação. Quando é que a rede descobre quem se ligou e se a identidade define a VLAN automaticamente.
4. Consentimento e dados próprios. Se a etapa de adesão pode registar a aceitação de termos e a adesão ao marketing.
5. Cobertura de dispositivos. Que dispositivos se podem ligar sem a ajuda do departamento de TI.
6. Roaming. Se um único início de sessão é válido para todos os seus locais e redes de parceiros.
7. Adequação do hardware. Se os pontos de acesso que possui suportam a tecnologia atualmente.
8. Carga operacional. O que a sua equipa mantém semana a semana.O preço não é um critério aqui. Ambas as opções são executadas como software nos pontos de acesso que já possui, pelo que o custo é uma questão de estrutura. Abordamos essa questão numa secção própria mais abaixo.

Como se comparam o Passpoint e o Captive Portal?

A matriz pontua cada opção relativamente aos oito critérios. A coluna Purple Access mostra como executamos ambas numa única plataforma.

{"caption":"Passpoint vs Captive Portal em oito critérios","asOf":"2026-06-10","columns":[{"key":"c","label":"Critério"},{"key":"p","label":"Captive Portal (rede aberta)"},{"key":"h","label":"Passpoint (rede segura)"},{"key":"u","label":"Purple Access","highlight":true}],"rows":[["Experiência de ligação","Página de início de sessão na primeira visita e após expiração da sessão","Perfil instalado uma vez, depois automático","Ambos: portal em rede aberta, Passpoint em rede segura"],["Segurança over-the-air","Nenhuma em rede aberta simples; a OWE encripta sem identidade","WPA2 ou WPA3-Enterprise com 802.1X","EAP-TLS e cloud RADIUS na rede segura"],["Identidade e VLAN","Conhecida após início de sessão, função aplicada a seguir","Conhecida antes do primeiro pacote; o RADIUS define a VLAN","A identidade define a VLAN nas três redes"],["Consentimento e dados","Termos e opt-in no ecrã ao ligar","Sem página de ligação; termos apenas via Release 3","Opt-ins por escolha consciente; marketing de convidados no Engage"],["Cobertura de dispositivos","Qualquer dispositivo com um navegador","iOS, Android, Windows e macOS atuais com um perfil","xPSK para dispositivos que não suportam nenhum"],["Roaming","Novo início de sessão em cada local","Um perfil entre locais e mais de 5 milhões de hotspots OpenRoaming","Broker de identidade certificado pela WBA; OpenRoaming gratuito com o Connect"],["Compatibilidade de hardware","Definições de página inicial em Meraki, Aruba, Ruckus, Mist, UniFi","Definições de Hotspot 2.0 nos mesmos pontos de acesso, se o firmware permitir","Overlay cloud independente de hardware, sem novos pontos de acesso"],["Carga operacional","Páginas de portal, listas de walled garden, particularidades de CNA","Certificados, perfis e política RADIUS","Portal, cloud RADIUS e EAP-TLS numa única plataforma"]],"footnote":"Pontuado a partir do material do programa Passpoint e OpenRoaming, IETF RFC 8952 e documentação do fornecedor. Os dados da Purple são dados próprios da Purple.","download":{"filename":"passpoint-vs-captive-portal.csv"}}

A encriptação é a diferença mais acentuada

Um SSID aberto simples envia tráfego entre o dispositivo e o ponto de acesso sem encriptação. O OWE adiciona encriptação através de Opportunistic Wireless Encryption (OWE, RFC 8110), mas não carrega qualquer identidade.

O Passpoint exige WPA2-Enterprise ou WPA3-Enterprise. Cada sessão autentica-se sobre 802.1X utilizando o Extensible Authentication Protocol (EAP). Cada sessão obtém as suas próprias chaves.

A identidade chega em momentos diferentes

Com um portal, a rede descobre a identidade tarde. O dispositivo já tem um endereço IP e uma sessão de navegador quando isso acontece.

Com Passpoint, o ponto de acesso verifica primeiro. Pergunta a um servidor RADIUS antes de o dispositivo enviar o seu primeiro pacote de dados. RADIUS é o protocolo que os pontos de acesso utilizam para perguntar a um servidor de autenticação se devem admitir um dispositivo.

Essa ordem decide o que pode impor. O RADIUS devolve uma VLAN aquando da autenticação. Um estudante, um prestador de serviços e um residente ficam em segmentos diferentes sem um segundo passo.

{"kind":"lanes","direction":"lr","caption":"Dois caminhos de início de sessão nos mesmos pontos de acesso","alt":"Um Captive Portal mantém o dispositivo num jardim murado até ao início de sessão, enquanto o Passpoint autentica via 802.1X antes do primeiro pacote de dados.","lanes":[{"id":"o","label":"Captive Portal na rede aberta"},{"id":"s","label":"Passpoint na rede segura"}],"nodes":[{"id":"o1","label":"O dispositivo liga-se ao SSID aberto","sub":"Sem encriptação a menos que seja Enhanced Open","lane":"o","tone":"neutral"},{"id":"o2","label":"Jardim murado","sub":"Tráfego contido até à conclusão do portal","lane":"o","tone":"neutral"},{"id":"o3","label":"Início de sessão no portal","sub":"Termos, consentimento e identidade capturados","lane":"o","tone":"brand"},{"id":"o4","label":"Acesso concedido","sub":"Função ou VLAN aplicada após o início de sessão","lane":"o","tone":"success"},{"id":"s1","label":"O dispositivo lê o beacon","sub":"Consulta ANQP para domínio e consórcio de roaming","lane":"s","tone":"neutral"},{"id":"s2","label":"Correspondência de perfil","sub":"Credencial armazenada ou identidade OpenRoaming","lane":"s","tone":"neutral"},{"id":"s3","label":"802.1X para o RADIUS na nuvem","sub":"EAP-TLS ou EAP-TTLS, encriptado desde o início","lane":"s","tone":"brand"},{"id":"s4","label":"A identidade define a VLAN","sub":"Sessão WPA2 ou WPA3-Enterprise","lane":"s","tone":"success"}],"edges":[{"from":"o1","to":"o2"},{"from":"o2","to":"o3"},{"from":"o3","to":"o4"},{"from":"s1","to":"s2"},{"from":"s2","to":"s3"},{"from":"s3","to":"s4"},{"from":"o3","to":"s2","label":"Integrar em rede segura","style":"dashed"}]}

Onde é que o Passpoint se destaca?

Pessoas que regressam todos os dias

Funcionários, estudantes, residentes e membros de espaços de coworking ligam-se diariamente às mesmas redes. Um portal volta a pedir a autenticação sempre que a sessão termina. O Passpoint pede apenas uma vez, na instalação do perfil, e nunca mais.

Para um utilizador, esse é o acesso WiFi contínuo que espera ter em casa. Para a sua equipa de suporte, elimina os pedidos repetidos de início de sessão associados à maioria dos tickets de portal.

Encriptação e identidade antes do primeiro pacote

O Passpoint autentica antes de qualquer dado fluir. Utiliza EAP-TLS (autenticação baseada em certificados), EAP-TTLS ou métodos baseados em SIM. A sua equipa de segurança obtém provas de quem acedeu, quando e em que VLAN.

Com a Purple, o RADIUS na nuvem verifica cada credencial no Microsoft Entra ID, Okta ou Google Workspace. Se revogar a conta, a Purple revoga o acesso à rede. As entradas, transferências e saídas de colaboradores passam a ser geridas por políticas em vez de tickets. O nosso guia de redes seguras sobre certificados, identidade e Passpoint cobre todo o modelo.

Roaming entre locais, cidades e redes parceiras

A comparação entre OpenRoaming e portal é mais evidente aqui. Um portal funciona num local de cada vez.

O OpenRoaming adota uma abordagem diferente. A Wireless Broadband Alliance (WBA) gere-o para federar redes Passpoint, para que uma identidade funcione em todos os pontos de acesso dos membros. A Purple é um mediador de identidade certificado pela WBA, e o OpenRoaming é gratuito através da licença Connect.

{"items":[{"value":"5 milhões+","label":"Hotspots OpenRoaming em todo o mundo"},{"value":"53 000+","label":"estudantes em roaming em Newcastle","note":"Campus, cidade e elétricos"},{"value":"80 000+","label":"locais ativos na Purple","note":"Dados próprios da Purple"}]}

{"tone":"proof","title":"Newcastle: a primeira rede OpenRoaming à escala municipal do mundo","text":"A Purple gere a rede OpenRoaming municipal de Newcastle. Mais de 53 000 estudantes navegam entre o campus, a cidade e os elétricos com uma única identidade."}

Se a sua equipa de segurança perguntar o que uma rede visitada pode ver, encaminhe-os para o OpenRoaming é seguro?

Dispositivos que ocultam o endereço de hardware

O iOS e o Android utilizam por predefinição um endereço MAC privado e aleatório por rede. Um portal que memorize os dispositivos pelo endereço MAC pode perder o rastreio e pedir a autenticação novamente. O Passpoint autentica as credenciais, não o endereço MAC, pelo que a aleatoriedade nunca ativa um novo início de sessão.

Onde ganha um Captive Portal?

Visitantes pela primeira vez e pontuais

Um hóspede de hotel, um cliente de uma loja ou um adepto num evento único não têm qualquer perfil no seu telemóvel. Um portal permite-lhes aceder a partir de qualquer navegador. Pedir a esse visitante que instale primeiro um perfil adiciona fricção a uma visita que pode nunca mais se repetir.

Consentimento, termos e dados de primeira parte (first-party)

O portal é o único local onde um visitante lê os seus termos e faz uma adesão por escolha consciente. Esse registo serve de prova para o consentimento em conformidade com o GDPR. Também dá início à recolha de dados de primeira parte que a sua equipa de marketing utiliza.

O marketing de convidados da Purple é executado no Engage. O nosso guia de WiFi para convidados aborda essa vertente.

O Passpoint Release 3 adiciona uma etapa de aceitação dos termos e condições, mas não a adesão ao marketing. Veja o que mudou no Passpoint Release 3.

Qualquer dispositivo com um navegador

Os portais não exigem nada do dispositivo para além de um navegador. O Passpoint necessita de suporte de um sistema operativo atual e de um perfil. Telemóveis mais antigos, computadores portáteis de visitantes e tablets partilhados caem frequentemente nessa lacuna.

A deteção de portal está agora padronizada. O RFC 8910 permite que a rede anuncie o portal através de DHCP. O RFC 8908 define uma API que comunica o estado do portal. Ambos reduzem as falhas do assistente de rede cativa (CNA) que geram pedidos de suporte.

Integração (onboarding) na rede segura

A rede aberta é também o local onde faz a integração de dispositivos pessoais na rede segura. Um estudante inicia sessão uma vez através do portal e recebe credenciais. A partir daí, liga-se à rede 802.1X. Utilizado desta forma, o portal é a porta de entrada para o Passpoint, e não o seu rival.

{"tone":"warning","title":"Remover o portal remove o consentimento","text":"O Passpoint não tem página no momento da adesão, pelo que não pode recolher consentimentos de marketing. Ao mudar um SSID de convidados apenas para Passpoint, a receção de novos dados em primeira mão é interrompida."}

Quanto custa manter cada opção?

Nenhuma das opções exige novos pontos de acesso. O custo reside em licenças, identidade e tempo das equipas. Descrevemos aqui a estrutura, não os montantes.

{"caption":"Quanto custa manter cada início de sessão: rubricas de custos, não montantes","asOf":"2026-06-10","columns":[{"key":"c","label":"Rubrica de custos"},{"key":"p","label":"Captive Portal"},{"key":"h","label":"Passpoint"},{"key":"u","label":"No Purple Access","highlight":true}],"rows":[["Licença de software","Licença da plataforma do portal","Cloud RADIUS, ferramentas de certificados e perfis","Plano Connect, Capture ou Engage"],["Hardware","Nenhum novo nos pontos de acesso existentes","Nenhum novo; atualização de firmware se o Hotspot 2.0 estiver ausente","Overlay na nuvem agnóstico ao hardware"],["Federação","Não faz parte do fluxo do portal","OpenRoaming opcional através de um corretor de identidade WBA","OpenRoaming gratuito através do Connect"],["Identidade","Início de sessão por redes sociais, e-mail ou formulário","Um diretório já licenciado","Microsoft Entra ID, Okta, Google Workspace"],["Manutenção de conteúdos","Design de páginas, texto de termos, listas de jardim murado","Modelos de perfil e política RADIUS","Ambos executados numa única plataforma"],["Trabalho de ciclo de vida","Temporizadores de sessão e inícios de sessão repetidos","Emissão, renovação e revogação de certificados","Revogação associada à conta do diretório"]],"footnote":"Apenas estrutura de custos. Solicite a cada fornecedor os montantes para a sua localização e número de dispositivos."}

No Purple, o licenciamento é feito por plano: Connect, Capture e Engage. O OpenRoaming é gratuito através da licença Connect, pelo que a federação não é uma rubrica separada. Os fornecedores de identidade são, normalmente, licenças que já possui. O Passpoint para colaboradores e estudantes reutiliza diretórios pelos quais já paga.

Os custos ocultos diferem:

• Portais têm custos de manutenção de conteúdos e suporte a inícios de sessão repetidos.
• Passpoint tem custos de gestão do ciclo de vida dos certificados: emissão na admissão, atualização na mobilidade interna e revogação na saída.

Ao associar esse ciclo de vida ao diretório, este passa a funcionar como política e não como trabalho manual.

O que envolve a transição de um captive portal para o Passpoint?

A transição é aditiva. Mantém o SSID do portal e adiciona uma rede segura em paralelo. Não há substituição total nem um fim de semana de migração crítica.

1. Verifique o firmware quanto ao Hotspot 2.0. Confirme o suporte no painel do Cisco Meraki, HPE Aruba Central, Ruckus SmartZone, Juniper Mist ou na aplicação Ubiquiti UniFi Network. Cada fornecedor documenta o Hotspot 2.0 por versão de firmware.
2. Escolha uma fonte de identidade por público. Utilize o Microsoft Entra ID, Okta ou Google Workspace para colaboradores e estudantes. Utilize o OpenRoaming para visitantes que tragam uma identidade de outro local.
3. Implemente cloud RADIUS e certificados. Utilize EAP-TLS para dispositivos geridos e integrados. Escreva a política RADIUS que mapeia cada identidade para a respetiva VLAN.
4. Publique a rede Passpoint. Defina o domínio NAI (Network Access Identifier), o consórcio de roaming e o domínio no SSID. Obtenha os valores do seu fornecedor RADIUS em vez de os tentar adivinhar.
5. Distribua perfis. Utilize a gestão de dispositivos móveis (MDM) para dispositivos geridos e a rede aberta para dispositivos pessoais. O OpenRoaming abrange todos os outros.
6. Meça a transição. Compare as sessões em Passpoint com as sessões no portal em cada local. Em seguida, ajuste os temporizadores de sessão do portal.

{"tone":"tip","title":"Execute ambos os SSIDs lado a lado","text":"Adicione a rede Passpoint junto ao SSID do portal existente em vez de o substituir. Os dispositivos sem perfil mantêm o portal; os dispositivos com perfil transitam automaticamente."}

Dois guias aprofundam estes passos:

• Tornar-se um fornecedor de rede de acesso OpenRoaming, para aceitar identidades OpenRoaming de visitantes nos seus locais.
• Comparativo de suporte de dispositivos Passpoint, para saber como o iOS, Android, Windows e macOS gerem os perfis.

Como deve decidir?

Eis a regra de decisão. Utilize o portal quando a relação começa à entrada. Utilize o Passpoint quando a relação começou antes de o visitante chegar. Aplique a regra por público e não por infraestrutura.

{"title":"Passpoint ou Captive Portal: qual se adequa a cada público","options":[{"name":"Captive Portal","fitsWhen":["Contacta com a maioria dos visitantes apenas uma vez","Necessita de termos de utilização e autorização de marketing no momento da adesão","Os visitantes trazem dispositivos que não pode configurar previamente"],"notWhen":["Os mesmos funcionários, estudantes ou residentes ligam-se diariamente","A sua política exige encriptação em todas as ligações"]},{"name":"Passpoint","fitsWhen":["As pessoas regressam e já possuem uma identidade","Necessita de encriptação e identidade antes do primeiro pacote de dados","Pretende um único início de sessão entre locais e parceiros OpenRoaming"],"notWhen":["O seu objetivo principal é recolher dados primários de visitantes pela primeira vez","Os dispositivos não conseguem guardar um perfil"]},{"name":"Ambos no Purple Access","fitsWhen":["A sua infraestrutura junta convidados, funcionários, estudantes e residentes","Pretende utilizar a rede aberta para integrar dispositivos na rede segura"],"notWhen":["Todos os dispositivos no local são geridos e pertencem à equipa"]}],"recommendation":"Mantenha o portal onde contacta com as pessoas pela primeira vez e migre todos os utilizadores conhecidos para o Passpoint."}

O seu próximo passo é listar os seus públicos local a local: convidados, funcionários, estudantes, residentes, membros e prestadores de serviços. Identifique quais já possuem uma identidade. Esses grupos mudam para o Passpoint e os restantes mantêm o portal. Depois, veja como o Passpoint e o OpenRoaming funcionam no Purple Access.

Perguntas frequentes

O Passpoint é mais seguro do que um Captive Portal?

Sim, por via aérea. O Passpoint requer WPA2-Enterprise ou WPA3-Enterprise com 802.1X, para que cada sessão seja autenticada e encriptada antes do fluxo de dados. Um SSID aberto e simples com um portal não encripta nada entre o dispositivo e o ponto de acesso. O Enhanced Open adiciona encriptação, mas não a identidade. Um portal continua a fornecer provas de consentimento, algo que o Passpoint não consegue fazer. Para detalhes sobre o OpenRoaming, leia o OpenRoaming é seguro?

O Passpoint funciona em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist e Ubiquiti UniFi?

Sim. Cada um dos cinco documenta as definições do Hotspot 2.0 no SSID, sujeito à versão do controlador e do firmware. O Purple adiciona RADIUS na nuvem e identidade como uma sobreposição na nuvem independente de hardware, pelo que não precisa de novos pontos de acesso. Verifique as notas de firmware de cada fornecedor relativamente ao Hotspot 2.0 antes de publicar a rede. Atualize primeiro todos os locais que executem versões mais antigas.

Posso recolher consentimento de marketing com o Passpoint?

Não. O Passpoint não tem nenhuma página no momento da ligação, pelo que não pode apresentar uma opção de adesão ao marketing. A Versão 3 adiciona a aceitação dos termos, mas não o consentimento para marketing. Mantenha um portal cativo na rede aberta para visitantes de primeira viagem, onde as opções de adesão por escolha consciente criam dados próprios. O marketing de convidados do Purple é executado no Engage. Os visitantes recorrentes podem depois mudar para o Passpoint, e mantém os registos de consentimento que já possui.

Quanto custa o OpenRoaming com o Purple?

O OpenRoaming é gratuito através da licença Connect do Purple. Não precisa de orçamentar uma linha de federação separada. O Purple é um mediador de identidade certificado pela WBA, pelo que os seus locais aderem a uma federação de mais de 5 milhões de hotspots em todo o mundo através do seu contrato do Purple. A sua escolha de plano (Connect, Capture ou Engage) define o restante custo. O OpenRoaming não o faz.

Posso executar o Passpoint e um portal cativo nos mesmos pontos de acesso?

Sim. Funcionam como SSIDs separados nos mesmos rádios: uma rede aberta com o portal e uma rede segura com o Hotspot 2.0 ativado. O Purple executa redes abertas, seguras e de xPSK numa única plataforma, e a identidade define a VLAN em cada uma. Mantenha a sua contagem de SSID baixa. Cada SSID extra adiciona sobrecarga de sinalizador (beacon) em cada rádio.

Quanto esforço exige a transição de um portal cativo para o Passpoint?

Menos do que um projeto de hardware, porque não substitui nada. O trabalho reside na identidade e na política. Escolhe um diretório por público, ativa RADIUS na nuvem e certificados, ativa o Hotspot 2.0 e distribui perfis. O portal permanece ativo durante todo o processo, pelo que não há interrupção no serviço. A maior parte do esforço reside na distribuição de perfis, que depende de quantos dispositivos gere através de MDM.

Um portal cativo fornece provas de auditoria para GDPR?

Fornece provas de consentimento, desde que a opção de adesão seja uma escolha consciente e que a registe. O portal mostra os termos e capta a aceitação no momento da ligação. O Purple possui certificação ISO 27001 e Cyber Essentials, o que apoia a sua avaliação de fornecedores. O Passpoint fornece um tipo diferente de prova: uma identidade autenticada e VLAN para cada sessão.

Que dispositivos suportam o Passpoint?

As versões atuais do iOS, Android, Windows e macOS suportam o Passpoint, mas cada um instala e gere perfis de forma diferente. Telemóveis mais antigos e dispositivos sem ecrã/interface (headless) frequentemente não têm suporte ou não possuem forma de instalar um perfil. O xPSK adequa-se a esses casos, atribuindo a cada dispositivo ou residente a sua própria chave numa rede segmentada. Para obter detalhes sobre as plataformas, leia comparativo de suporte de dispositivos para Passpoint.