Toda vez que alguém digita uma senha, aceita termos numa tela de login ou apresenta um certificado digital para acessar uma rede sem fio, está passando por uma autenticação de usuários no Wi-Fi. O conceito parece simples. A execução, nem tanto: escolher o método errado pode significar uma rede insegura, dados coletados sem base legal ou, no caso de estabelecimentos comerciais, centenas de visitantes diários conectando sem deixar nenhum dado aproveitável.
O mercado de infraestrutura WLAN empresarial alcançou US$ 3,2 bilhões no segundo trimestre de 2026, com crescimento de 23,2% ao ano. Muita empresa está trocando equipamento. Poucas estão revisando como (e se) identificam quem se conecta.
Este guia compara os métodos disponíveis, explica o que a legislação brasileira realmente exige e mostra como transformar a autenticação em vantagem operacional, seja para segurança interna, seja para captura de leads no ponto de venda.
Veja mais vídeos como esse em nosso canal do YouTube!
O que é autenticação de usuários no Wi-Fi
Autenticar é verificar uma credencial antes de liberar o acesso. Pode ser algo que a pessoa sabe (senha), algo que ela possui (certificado, celular) ou algo que confirma quem ela é (login social, identidade federada).
O modelo por trás disso se chama AAA, que cobre três funções distintas:
- Autenticação: a credencial é válida?
- Autorização: o que essa pessoa pode acessar?
- Accounting: o que ela fez durante a sessão?
Essas três funções aparecem juntas em servidores RADIUS e em soluções de controle de acesso à rede. O MikroTik User Manager, por exemplo, centraliza autenticação e autorização, mas depende de accounting habilitado no access point para registrar sessões.
A distinção que mais importa na prática: proteger a conexão não é a mesma coisa que saber quem está conectado. Uma rede com senha forte (WPA3, por exemplo) impede que terceiros interceptem o tráfego. Mas se 30 funcionários compartilham a mesma senha, você sabe que alguém se autenticou. Não sabe quem.
É nessa diferença que mora a escolha do método. E cada método resolve um tipo diferente de problema.
Métodos de autenticação comparados
Não existe um método universalmente melhor. Existe o método certo para o que você precisa resolver. A tabela abaixo compara os principais:
| Método | O que comprova | Melhor cenário | Limite principal |
|---|---|---|---|
| WPA2/WPA3-Personal (PSK/SAE) | Conhecimento da senha compartilhada | Redes domésticas, escritórios pequenos | Não distingue pessoas. WPA3-SAE melhora a resistência a ataques offline, mas continua sendo uma senha só. |
| WPA2/WPA3-Enterprise (802.1X) | Identidade individual via servidor RADIUS | Corporações, instituições de ensino, ambientes com rotatividade de pessoal | Exige infraestrutura (servidor RADIUS, certificados ou diretório de usuários) |
| Portal cativo / Hotspot social | Credencial exigida na tela de login (e-mail, celular, login social) | Restaurantes, hotéis, academias, eventos, qualquer PDV com visitantes | Não substitui a criptografia do enlace. Precisa de configuração correta para cumprir LGPD. |
| Certificados (EAP-TLS) | Posse de certificado e chave privada, com autenticação mútua | Dispositivos gerenciados em ambientes de alta segurança | Exige emissão, distribuição, renovação e revogação de cada certificado |
| IPSK/PPSK | Chave individual por dispositivo ou grupo | IoT, câmeras, sensores sem suporte a 802.1X | Meraki documenta que o IPSK sem RADIUS não suporta WPA3 nem 802.11r |
| Passpoint / OpenRoaming | Credencial reconhecida pelo ecossistema federado | Transporte, redes de campus, cadeias com múltiplas unidades | Requer provisionamento e participação ativa na federação |
| OWE (Enhanced Open) | Não autentica ninguém | Redes abertas onde criptografia sem cadastro é desejável | Cifra o enlace, mas não impede ataques de impersonação |
Uma academia de bairro e um hospital não têm as mesmas necessidades. O primeiro precisa saber quem é o visitante para enviar uma oferta depois. O segundo precisa garantir que só equipamentos autorizados acessem a rede clínica. Métodos diferentes, problemas diferentes.
Mas como funciona, na prática, o protocolo que está por trás da maioria das autenticações corporativas?
Como o 802.1X funciona (sem complicar)
O 802.1X organiza a autenticação em três papéis, conforme a documentação da Microsoft:
- Suplicante: o software no dispositivo do usuário (notebook, celular) que apresenta a credencial.
- Autenticador: o access point ou switch que controla a porta de acesso. Ele não decide nada sozinho. Apenas encaminha.
- Servidor de autenticação: o RADIUS, que recebe a credencial e diz “sim” ou “não”.
Antes da aprovação, o dispositivo só consegue trocar mensagens de autenticação (protocolo EAPOL) com o access point. O tráfego de rede real fica bloqueado. Quando o servidor aprova, a porta controlada abre e o dispositivo navega.
O “como” da verificação depende do método EAP escolhido:
- EAP-TLS: cliente e servidor apresentam certificados. É autenticação mútua. A Microsoft recomenda migrar de MSCHAPv2 para métodos baseados em certificados, especialmente em ambientes com Credential Guard.
- PEAP-MSCHAPv2: usa credenciais (usuário e senha) dentro de um túnel TLS. Funciona, mas tem riscos documentados e incompatibilidades.
- EAP-TTLS/PAP: similar ao PEAP em conceito, com senha protegida pelo túnel. O servidor precisa ser autenticado por certificado para evitar redes falsas (evil twins).
Validar o servidor é indispensável. Sem essa validação, o dispositivo pode conectar numa rede impostora que imita o SSID legítimo. No Android, desde a versão 11 QPR1, configurações Enterprise baseadas em TLS exigem CA raiz e correspondência de domínio.
Para ambientes corporativos com dispositivos gerenciados, o 802.1X é o padrão. Mas e para o restaurante, o hotel, a academia? Ninguém vai instalar certificado no celular do cliente para usar o Wi-Fi. É aí que entra outro caminho.
Portal cativo e hotspot social: autenticação que gera receita
O portal cativo é a tela que aparece quando alguém conecta no Wi-Fi de um estabelecimento. Pode pedir senha, aceitar termos de uso ou solicitar um cadastro. O hotspot social vai além: transforma esse momento de conexão em captura de dado qualificado, com login via celular, e-mail ou rede social. A gestão dessas conexões e campanhas acontece através de um painel de controle hotspot wi-fi que centraliza métricas e automações.
A diferença entre os dois é a mesma que existe entre uma catraca e uma recepção. A catraca libera ou bloqueia. A recepção identifica, registra e abre uma conversa.
Num hotel com 300 hóspedes por semana, o portal cativo básico (senha no cartão do quarto) libera acesso. O hotspot social captura nome, e-mail e telefone de cada hóspede, cria uma base segmentada por período de estadia e habilita follow-up automatizado.
Números reais ajudam a dimensionar o potencial. Em um case de Wi-Fi marketing no varejo de luxo, 581.317 visitantes únicos conectaram ao Wi-Fi em 12 meses; 221.931 (38%) aceitaram receber comunicações; 6.657 fizeram uma compra. A taxa de conversão dos opt-ins fica em torno de 3%. Não é mágica, é funil mensurável.
Para o gestor de PDV, o raciocínio é direto: quantas pessoas passam pelo seu Wi-Fi por mês? Quantas você identifica hoje? Se a resposta é “nenhuma” ou “não sei”, o Wi-Fi está funcionando como commodity de internet. Está conectando, mas não está capturando.
O Wi-Fi marketing com hotspot social resolve isso na camada de negócio. O visitante conecta, se identifica pelo método que fizer sentido (celular, e-mail, login social), e o dado entra direto na base. Sem formulário separado, sem cadastro manual, sem depender de que alguém anote algo num caderno.
Mas capturar dado sem critério legal é risco, não vantagem. E é exatamente sobre isso que a maioria dos artigos sobre autenticação Wi-Fi se cala.
O que a LGPD e o Marco Civil exigem (e o que não exigem)
Existe um mito persistente: “todo Wi-Fi aberto precisa pedir CPF e guardar os dados por um ano”. Não é bem assim.
O artigo 13 do Marco Civil da Internet determina a guarda de registros de conexão pelo administrador de sistema autônomo por um ano. Registros de conexão, conforme definidos na lei, incluem horários, duração e endereço IP. Não existe obrigação genérica de coletar CPF, nome completo ou data de nascimento em qualquer estabelecimento que ofereça Wi-Fi.
Já a LGPD exige finalidade específica e coleta limitada ao mínimo necessário. Na prática, isso significa:
- Se você coleta e-mail para liberar o Wi-Fi, precisa informar para quê.
- Se pretende enviar ofertas, o consentimento comercial deve ser separado do acesso à rede. O visitante precisa poder usar o Wi-Fi mesmo sem aceitar receber promoções.
- O guia de legítimo interesse da ANPD exige ponderação entre seus interesses, os direitos do titular e as expectativas legítimas dele. Legítimo interesse não é carta branca para rastrear visitantes.
A recomendação prática: desenhe separadamente a política de acesso (quem entra na rede e como), a base legal da coleta (por que você guarda aquele dado), o consentimento comercial (opt-in para comunicações) e a retenção dos registros técnicos. Misturar tudo num mesmo fluxo cria vulnerabilidade jurídica.
Uma autenticação bem configurada no hotspot social resolve isso por arquitetura: o acesso exige identificação mínima, o opt-in comercial aparece como escolha separada e os registros técnicos ficam armazenados conforme a obrigação legal. Se o seu portal atual pede CPF, RG e data de nascimento para liberar 30 minutos de internet, talvez esteja coletando mais do que precisa e menos do que deveria.
Mas mesmo quem coleta direito enfrenta um novo problema técnico: os dispositivos estão dificultando a identificação passiva.
MAC aleatório: por que identificação passiva não funciona mais
Até poucos anos atrás, era possível reconhecer um dispositivo recorrente pelo endereço MAC. O cliente voltava à loja, o celular reconectava, e o sistema registrava mais uma visita.
Isso acabou. Dispositivos Apple usam endereços MAC privados por rede, com modos Fixed e Rotating. No modo Rotating, o endereço muda a cada duas semanas. Android e Windows seguem a mesma direção. O resultado: o mesmo celular pode aparecer como “novo visitante” na sua base a cada quinzena.
Para quem contava com MAC como identificador de frequência de visita, a consequência é dupla:
- Métricas infladas: o relatório mostra visitantes únicos crescendo, quando na verdade são os mesmos clientes com endereços diferentes.
- Reconhecimento quebrado: qualquer automação que dependia de MAC para disparar mensagem de retorno (“bem-vindo de volta!”) simplesmente para de funcionar.
A saída não é pedir que o cliente desative a proteção de privacidade (ninguém vai fazer isso). A saída é migrar a identidade para um dado que o próprio cliente fornece voluntariamente: e-mail, telefone ou login social, capturados no momento da autenticação via hotspot.
Quando o visitante se autentica com o celular ou e-mail no captive portal, o identificador é o dado dele, não o MAC do dispositivo. A frequência de visita, o histórico de conexão e as automações de recompra passam a funcionar independentemente do que Apple ou Google decidam sobre privacidade de hardware.
Falta, então, a pergunta final: com todos esses métodos e variáveis, como decidir o que faz sentido para o seu caso?
Como escolher o método certo para seu estabelecimento
A escolha depende de três variáveis: quem conecta, qual o risco e o que você pretende fazer com a informação.
| Cenário | Quem conecta | Método recomendado | Por quê |
|---|---|---|---|
| Escritório pequeno (até 20 pessoas) | Funcionários fixos | WPA3-Personal com senha forte | Simplicidade proporcional ao risco. Troque a senha quando alguém sair. |
| Empresa média com rotatividade | Funcionários, terceiros, visitantes | 802.1X para funcionários + portal cativo para visitantes | Cada saída de funcionário desativa apenas a conta dele. Visitantes ficam em rede segregada. |
| Restaurante, café, academia | Clientes, visitantes recorrentes | Hotspot social com login por celular/e-mail | Captura de lead automática. Base ativa para campanhas. Frequência de visita mensurável. |
| Hotel, pousada | Hóspedes com estadia definida | Hotspot social com voucher por quarto ou login por dados do check-in | Personalização da experiência. Integração com follow-up pós-estadia. |
| Universidade, campus | Alunos, docentes, visitantes | eduroam (federado) + portal para comunidade externa | O eduroam registrou 8,4 bilhões de autenticações em 2024. Funciona entre instituições. |
| Indústria com IoT | Sensores, câmeras, CLPs | IPSK por dispositivo + segmentação de rede | Dispositivos IoT raramente suportam 802.1X. Chaves individuais + VLAN dedicada reduzem superfície de ataque. |
| Evento, feira, conferência | Participantes temporários em grande volume | Hotspot social com login simplificado | Volume alto, tempo curto. O dado capturado no evento vira base para pós-evento. |
Migração: não precisa ser tudo de uma vez
A Washington and Lee University é um exemplo concreto de como migrações acontecem. Em setembro de 2026, a universidade anunciou migração do eduroam para EAP-TLS, com certificados distribuídos automaticamente nos computadores institucionais. Os computadores pessoais precisavam instalar um novo certificado manualmente, sob risco de perder acesso.
A lição: “sem senha no dia a dia” não significa “sem onboarding”. Qualquer mudança de método exige comunicação clara, período de transição e suporte para dispositivos que não se adaptam sozinhos.
Para estabelecimentos comerciais, a migração costuma ser mais simples. Trocar um roteador com senha escrita na parede por um hotspot social com captive portal pode levar horas, não semanas. E o retorno aparece no primeiro mês, quando a base de leads começa a crescer.
O que não funciona (reality check)
Antes de implementar qualquer método, vale eliminar o que parece solução mas gera mais problema:
- Senha no post-it colado no balcão. Se todo mundo tem a mesma senha e ela nunca muda, autenticação é formalidade. Qualquer ex-funcionário, vizinho ou passante continua entrando. O CERT.br recomenda abandonar WEP e WPA, preferindo WPA3 ou WPA2/WPA3, mas de nada adianta o protocolo ser forte se a senha é “restaurante123”.
- Coletar dados sem propósito definido. Pedir CPF, data de nascimento e endereço completo para liberar 15 minutos de Wi-Fi não é “segurança”. É atrito. E, dependendo da ausência de base legal, é infração à LGPD.
- Tratar MAC como identidade do cliente. Já coberto acima, mas vale reforçar: qualquer métrica ou automação baseada exclusivamente em MAC está com os dias contados.
- Ignorar o caminho entre o access point e o servidor. A vulnerabilidade BlastRADIUS, divulgada em julho de 2024, mostrou que respostas RADIUS podem ser manipuladas quando o transporte não usa TLS/DTLS. Um enlace Wi-Fi protegido não compensa um caminho AAA desprotegido.
- Confundir gestão de acesso com bloqueio abusivo. A Marriott pagou US$ 600 mil à FCC por bloquear hotspots pessoais de hóspedes usando desautenticação Wi-Fi. O caso é norte-americano, mas o princípio é universal: proteger sua rede é legítimo. Impedir que terceiros usem as próprias conexões, não.
A autenticação funciona quando é proporcional ao risco, transparente para o usuário e conectada a um resultado mensurável, seja ele segurança, conformidade ou receita.
Para quem opera pontos de venda e quer transformar o Wi-Fi em canal de captura de clientes (não só internet grátis), a plataforma de Wi-Fi marketing da DT Network integra captive portal, login social, opt-in segmentado e disparo automático via WhatsApp empresarial. O lead capturado no Wi-Fi vira conversa automatizada. Se você é provedor de internet, empresa de TI ou agência e quer oferecer isso como serviço para seus próprios clientes, a revenda white label permite criar sua marca própria de hotspot social com receita recorrente mensal.
Perguntas frequentes
O que significa “erro de autenticação” no Wi-Fi do celular?
Significa que o dispositivo não conseguiu validar a credencial. Em redes domésticas, geralmente é senha incorreta: remova o perfil salvo e reconecte. Em redes corporativas (802.1X), pode ser certificado expirado, método EAP incompatível ou servidor RADIUS fora do ar. Se o celular conecta mas não navega, o problema pode ser DHCP ou DNS, não autenticação.
Todo Wi-Fi gratuito precisa pedir CPF?
Não. O Marco Civil exige guarda de registros de conexão (IP, horário, duração) pelo administrador de sistema autônomo, não coleta de CPF em qualquer estabelecimento. A LGPD exige finalidade e necessidade para cada dado coletado. Pedir CPF sem justificativa legal documentada pode configurar coleta excessiva.
WPA3 substitui a necessidade de autenticação individual?
Não. O WPA3-Personal usa SAE para proteger a troca de chaves, mas continua baseado em senha compartilhada. Para identificar cada pessoa individualmente, é necessário 802.1X (ambiente corporativo) ou portal cativo/hotspot social (ambiente comercial).
Por que a página de login do Wi-Fi não aparece no meu celular?
O portal cativo depende de uma detecção automática pelo sistema operacional. Se ela falha, tente abrir manualmente um site HTTP (não HTTPS) no navegador, ou acesse o IP do gateway. Redes mal configuradas podem não redirecionar corretamente. A Captive Portal API (RFC 8908) padroniza essa detecção, mas nem todos os equipamentos a implementam.
Como saber se meu access point suporta 802.1X?
A maioria dos access points empresariais suporta. Equipamentos domésticos e roteadores de entrada, normalmente não. Verifique nas configurações de segurança wireless se existe a opção “WPA2/WPA3-Enterprise” ou “RADIUS”. Se não existir, o equipamento trabalha apenas com senha compartilhada (Personal/PSK).
Hotspot social é seguro para o cliente que conecta?
A segurança do hotspot depende da implementação. Um hotspot social bem configurado usa HTTPS no portal de login, segmenta o tráfego dos visitantes em VLAN separada e não expõe dados entre dispositivos conectados. O risco não está no método de autenticação em si, mas na ausência de isolamento de clientes e criptografia no transporte.
