Dez chamados por dia pedindo a senha do Wi-Fi. Um visitante conectado no SSID errado, com acesso à rede interna. Um ex-funcionário que ainda navega pelo hotspot três meses depois do desligamento.
Esses três cenários compartilham a mesma causa: a rede sem fio não identifica quem conecta. Autenticação Wi-Fi empresarial resolve isso. Em vez de uma senha colada no mural, cada pessoa ou dispositivo apresenta uma credencial individual e recebe permissões específicas.
Aqui você encontra os cinco métodos mais usados, uma comparação prática, os riscos reais (com dados de pesquisa) e o roteiro para migrar da senha compartilhada sem parar a operação.
Veja mais vídeos como esse em nosso canal do YouTube!
O que é autenticação Wi-Fi empresarial
É o processo que valida individualmente quem ou o que se conecta à rede sem fio, antes de liberar qualquer tráfego. Funciona com três componentes:
- O framework 802.1X impede dados de trafegar até o dispositivo ser verificado. Nenhum pacote IP passa enquanto a credencial não for aceita.
- A família de protocolos EAP (Extensible Authentication Protocol) define como essa verificação acontece. Cada variante (EAP-TLS, PEAP, TEAP) usa um tipo diferente de credencial: certificado, senha em túnel TLS ou combinação de ambos.
- O servidor RADIUS recebe a credencial, consulta o diretório de identidades, decide se autoriza o acesso e registra a sessão.
Juntos, esses componentes formam o modelo AAA: autenticação (quem é você), autorização (o que você pode fazer) e accounting (o que você fez). A Cisco descreve o fluxo como uma conversa entre dispositivo, access point e servidor RADIUS, onde o resultado pode ser uma VLAN e uma política específica, não acesso irrestrito à rede inteira.
A diferença fundamental em relação ao Wi-Fi doméstico está na individualização. No WPA-Personal, todos compartilham a mesma chave. No WPA2/WPA3-Enterprise, cada dispositivo se autentica separadamente, com credenciais e permissões próprias.
Entendido o conceito, a decisão prática é: qual método de autenticação usar para cada situação?
Cinco métodos de autenticação e quando usar cada um
O método certo depende de quem conecta, com qual dispositivo e que nível de controle você precisa.
| Método | Credencial | Segurança | Melhor cenário | Limitação principal |
|---|---|---|---|---|
| PSK compartilhada | Uma senha para todos | Baixa | Rede temporária ou doméstica | Impossível revogar um dispositivo sem trocar a senha de todos |
| PPSK | Senha individual por dispositivo | Média | IoT e dispositivos sem suporte a 802.1X | Alguns fabricantes limitam a WPA2, sem funcionar em 6 GHz |
| PEAP-MSCHAPv2 | Usuário e senha via túnel TLS | Alta (com validação do servidor) | Ambientes com Active Directory | Microsoft recomenda migrar para certificados |
| EAP-TLS | Certificado digital (autenticação mútua) | Muito alta | Dispositivos gerenciados via MDM | Exige PKI e ciclo de vida de certificados |
| Captive portal / hotspot social | Login social, e-mail, celular ou voucher | Média (para acesso de visitantes) | Redes de convidados, eventos, PDVs | Não substitui 802.1X para acesso corporativo |
PSK compartilhada é o ponto de partida da maioria dos negócios. Funciona até o dia em que alguém sai da empresa e a senha continua válida. A varejista americana Hibbett operava com PSK em mais de mil lojas antes de migrar para certificados por dispositivo, justamente porque não tinha como revogar o acesso de um terminal sem resetar todos os outros.
PPSK dá um passo à frente: cada dispositivo recebe uma chave individual, associável a uma VLAN. É a saída prática para câmeras, impressoras e sensores que não entendem 802.1X. A ressalva é que em fabricantes como Ubiquiti, funciona apenas com WPA2 e não opera em 6 GHz.
PEAP-MSCHAPv2 é o método mais presente em redes corporativas com Active Directory. O dispositivo cria um túnel TLS com o servidor RADIUS e envia credenciais dentro dele. A armadilha: se o perfil não validar o certificado do servidor, o dispositivo aceita um servidor falso sem avisar ninguém.
EAP-TLS elimina senhas da equação. Cliente e servidor se autenticam mutuamente por certificados, conforme a RFC 9190 para autenticação mútua com TLS 1.3. Exige infraestrutura de chave pública (PKI) e distribuição de certificados via MDM, mas é a referência de segurança para dispositivos gerenciados.
Captive portal com hotspot social é o caminho para redes de visitantes. A conexão abre uma tela de login onde a pessoa se identifica por e-mail, celular ou rede social. Simples para quem conecta, e uma oportunidade de captura de dados com opt-in para quem oferece a rede.
Nenhum método isolado atende funcionários, visitantes e IoT. É por isso que a segmentação de rede deixa de ser opcional.
Por que funcionários, visitantes e IoT precisam de redes separadas
Colocar todos no mesmo segmento de rede é dar a mesma chave do escritório para qualquer pessoa que entre no prédio. Cada perfil de acesso tem um risco diferente e precisa de uma política diferente.
A separação se faz com VLANs. Cada VLAN isola o tráfego: um visitante na VLAN de convidados não enxerga os servidores da VLAN corporativa, mesmo que ambos usem o mesmo access point físico. O RADIUS pode atribuir a VLAN automaticamente com base na credencial apresentada. Para entender como implementar segmentação de rede Wi-Fi empresarial na prática, existem estratégias específicas de isolamento por perfil de acesso.
Para funcionários com dispositivos gerenciados, EAP-TLS ou PEAP autenticam e direcionam à VLAN corporativa. Para IoT (câmeras, coletores, sensores), PPSK com VLAN dedicada isola os equipamentos sem exigir 802.1X.
Para visitantes, captive portal. Mas aqui está o ponto que a maioria dos guias técnicos ignora: a tela de login é um ponto de captura de dados. Se o captive portal funciona como hotspot social, o visitante faz opt-in com e-mail, celular ou login social. Essa informação alimenta a base do negócio para comunicação futura.
A maioria das empresas trata a rede de convidados como custo: banda de internet cedida sem retorno. Com o captive portal operando como hotspot social, esse custo vira investimento. Cada conexão gera um lead com dados de contato reais, obtidos no momento em que a pessoa mais quer o Wi-Fi.
E o que a legislação diz sobre essa coleta? O princípio da necessidade na LGPD exige coleta proporcional e com finalidade específica. Pedir e-mail para liberar Wi-Fi de visitante é justificável. Pedir CPF, data de nascimento e endereço completo sem necessidade concreta não é.
Para estabelecimentos que recebem público (restaurantes, clínicas, academias, hotéis), o Wi-Fi marketing via hotspot social transforma a rede de convidados em canal de captura. Provedores de internet também podem oferecer hotspot Wi-Fi para ISP como serviço agregado a clientes comerciais. O lead entra pela conexão e pode ser ativado depois por e-mail ou WhatsApp empresarial, sem formulário manual.
A lógica de federação também ajuda em ambientes maiores. A RNP opera mais de 3.900 pontos de acesso eduroam em mais de 190 instituições brasileiras, permitindo que pesquisadores e alunos usem credenciais da instituição de origem em qualquer universidade participante. O princípio é o mesmo: a identidade pertence à organização de origem, não ao local que oferece a conexão.
Separar a rede protege. Mas protege de quê, exatamente?
Ataques que a senha compartilhada não impede
Três cenários concretos ilustram por que a senha no mural é um risco maior do que parece.
Evil Twin: o access point falso
Um atacante cria uma rede com o mesmo nome (SSID) da rede legítima. O dispositivo conecta, acreditando estar na rede da empresa. Com PSK, a senha é a mesma para o ponto de acesso real e para o falso. O dispositivo não distingue.
Com 802.1X, a proteção existe. Mas depende de configuração. Pesquisadores da KU Leuven testaram 268 dispositivos em uma universidade e constataram que 51 deles (19%) estabeleceram conexão com infraestrutura controlada pelos pesquisadores. Os perfis desses dispositivos não validavam o certificado do servidor.
A lição não é que 802.1X falha. É que 802.1X sem distribuição correta de perfis confiáveis falha silenciosamente.
BlastRADIUS: ataque ao transporte
Divulgado em 2024, o BlastRADIUS explora aspectos do protocolo RADIUS quando o atacante tem posição entre o access point e o servidor AAA. O FreeRADIUS esclarece que fluxos exclusivamente EAP ou protegidos por RadSec não são afetados. Já comunicações legadas com UDP e segredo compartilhado exigem atualização imediata.
Credenciais que nunca expiram
Com PSK, não existe “revogar o acesso de um dispositivo.” Qualquer pessoa que saiba a senha continua conectando indefinidamente. Com certificados, a revogação é individual: desligou o funcionário, revogou o certificado, o acesso encerra.
Esses riscos não são teóricos. São os cenários que justificam a migração. E migrar não precisa ser um projeto de dois anos.
Da senha única ao certificado: roteiro prático de migração
A migração funciona melhor em fases. O roteiro abaixo se aplica de uma clínica com 10 dispositivos a uma rede de 50 lojas.
- Inventarie. Liste todos os dispositivos que conectam: notebooks, celulares, impressoras, câmeras, coletores. Classifique em gerenciados (empresa), pessoais (BYOD) e IoT.
- Segmente. Crie VLANs para corporativo, visitantes e IoT. Mesmo antes de mudar a autenticação, a segmentação já reduz a superfície de ataque.
- Escolha o método por segmento. EAP-TLS ou PEAP para funcionários. Captive portal para visitantes. PPSK para IoT.
- Pilote. Comece por dispositivos gerenciados de um departamento. Distribua perfis via MDM. Teste conexão, revogação, renovação e o comportamento quando o RADIUS fica indisponível.
- Distribua perfis, não instruções. O estudo da KU Leuven mostra o problema de delegar validação de certificado ao usuário. Use MDM para dispositivos corporativos e captive portal gerenciado para visitantes.
- Monitore. Acompanhe taxa de sucesso por sistema operacional, erros de inscrição, chamados de suporte e tempo médio de revogação.
O custo real vai além do servidor RADIUS
Comparar “FreeRADIUS gratuito” com “Cloud RADIUS por assinatura” sem contar o resto é uma análise incompleta. O orçamento precisa incluir: servidor RADIUS (local ou cloud), PKI (emissão e renovação de certificados), MDM (distribuição de perfis), integrações com diretório, redundância e esforço de suporte. O Microsoft Cloud PKI, por exemplo, exige licença adicional ao Intune.
Para a rede de visitantes, a equação é diferente. Uma solução de hotspot social com captive portal pode operar como SaaS, com custo previsível por ponto de acesso e retorno mensurável em leads capturados.
Quando a autenticação quebra depois da migração
Os dois problemas mais frequentes:
- Dispositivos que param de conectar após atualização do sistema operacional. O Windows 11 alterou a validação de certificados do servidor entre versões, quebrando perfis que funcionavam antes. A solução é revisar e redistribuir o perfil, não desativar a validação.
- Certificados que expiram sem renovação automática. Se o MDM não está configurado para renovar, os dispositivos simplesmente param de autenticar no dia da expiração. Teste o ciclo completo (emissão, uso, renovação, revogação) antes de escalar para todos os equipamentos.
Com o roteiro definido, vale entender as mudanças técnicas que estão redefinindo o cenário para quem implementa ou atualiza autenticação agora.
O que está mudando na autenticação Wi-Fi
Quatro movimentos técnicos convergem e afetam diretamente quem renova infraestrutura de rede.
Wi-Fi 7 empurra a troca de hardware
Wi-Fi 7 já representa 44,5% da receita de access points empresariais no primeiro trimestre de 2026, segundo a IDC. Trocar o AP sem revisar a autenticação é comprar um cofre novo e deixar a porta aberta.
Certificados viram padrão, senhas saem de cena
O Credential Guard da Microsoft bloqueia SSO para PEAP-MSCHAPv2. Em setembro de 2025, o suporte à chave de compatibilidade para mapeamento de certificados em controladores de domínio foi encerrado. Ambientes que dependem de senhas para autenticação Wi-Fi vão encontrar atrito crescente a cada ciclo de atualização.
O transporte RADIUS evolui
A RFC 9765, publicada em abril de 2025, define RADIUS/1.1 com negociação ALPN sobre TLS e elimina mecanismos baseados em MD5. É especificação experimental, não obrigatória, mas sinaliza a direção: comunicação protegida entre access point e servidor AAA, sem depender de segredos compartilhados.
Sistemas operacionais ficam mais rigorosos
Android 11 em diante exige certificado de CA e correspondência de domínio para configurações Enterprise adicionadas por API. O Windows endurece a validação entre versões. O efeito prático: instruções manuais do tipo “aceite o certificado quando aparecer” funcionam cada vez pior. Distribuição automatizada de perfis (via MDM ou captive portal gerenciado) vira necessidade.
A convergência é clara. Certificados substituem senhas, o transporte fica criptografado, a configuração é distribuída automaticamente. Quem começar a migração agora chega antes do ponto em que ela vira emergência.
Perguntas frequentes
Qual a diferença entre Wi-Fi doméstico e empresarial?
No doméstico (WPA-Personal), todos usam a mesma senha. No empresarial (WPA-Enterprise), cada dispositivo ou usuário se autentica individualmente via RADIUS, com permissões específicas. O rótulo “empresarial” vem do modelo de autenticação, não do hardware.
Preciso de servidor físico para RADIUS?
Não necessariamente. Existem opções de Cloud RADIUS (Mist Access Assurance, SecureW2, Foxpass) que dispensam servidor local. O NPS da Microsoft roda em Windows Server. O FreeRADIUS é open source. A escolha depende do diretório de identidades, do MDM e dos equipamentos já instalados.
WPA3-Enterprise é o mesmo que EAP-TLS?
Não. WPA3-Enterprise define requisitos de segurança do enlace (PMF obrigatório, restrições criptográficas). EAP-TLS é um método de autenticação por certificados. A configuração correta usa WPA3-Enterprise como camada de segurança e um método EAP como autenticação.
A LGPD exige CPF para liberar Wi-Fi de visitante?
Não. A LGPD exige finalidade específica e coleta proporcional. Para liberar acesso à internet, pedir e-mail ou celular com opt-in é justificável. Exigir CPF sem necessidade concreta pode configurar coleta excessiva. O captive portal deve coletar apenas dados pertinentes ao serviço.
Por que o Wi-Fi corporativo para de funcionar depois de uma atualização?
Atualizações do Windows e do Android frequentemente alteram a validação de certificados. Se o perfil de rede não contém o certificado de CA correto e a correspondência de domínio do servidor, o dispositivo rejeita a conexão. A solução é revisar e redistribuir o perfil, não desativar a validação.
Captive portal serve para autenticação de funcionários?
Para acesso corporativo interno, não é o recomendado. Captive portal opera na camada de aplicação (HTTP redirect), enquanto 802.1X autentica na camada de enlace, antes de qualquer tráfego IP. Para redes de visitantes, o captive portal com hotspot social é a solução prática, com retorno em dados de contato para o negócio.
Se o Wi-Fi do seu negócio ainda não captura leads no momento da conexão, está na hora de mudar isso. Veja como funciona o hotspot social da DT Network.
