Sua empresa ainda distribui a senha do Wi-Fi num papel colado na recepção? Ou pior: usa a mesma credencial há dois anos, incluindo aquela que ex-funcionários levaram consigo? Se o cenário parece familiar, single sign-on Wi-Fi é o conceito que resolve essa equação. Em vez de senhas compartilhadas, cada pessoa autentica com a identidade corporativa que já possui (Microsoft Entra ID, Okta, Google Workspace), e a rede libera o acesso automaticamente, sem prompt adicional.
Aqui você vai entender o que é SSO aplicado a redes sem fio, como a engrenagem técnica funciona (802.1X, RADIUS, EAP), qual método de autenticação escolher e como migrar da senha única para SSO sem derrubar a operação no meio do caminho.
Veja mais vídeos como esse em nosso canal do YouTube!
O que é single sign-on aplicado a Wi-Fi
Single sign-on (SSO) em Wi-Fi é o modelo em que o usuário autentica uma única vez no provedor de identidade corporativo e essa sessão vale para a conexão à rede sem fio, sem necessidade de digitar outra senha, voucher ou código. Na prática, permite ao usuário fazer um único login para acessar vários sistemas autorizados, incluindo a rede wireless.
A diferença em relação ao SSO que você já conhece (aquele que libera Gmail, Slack e ERP com um clique) está na camada de rede. No SSO de aplicação, o navegador troca tokens SAML ou OpenID Connect com o IdP. No SSO de Wi-Fi, quem faz essa ponte é o protocolo 802.1X junto com um servidor RADIUS, que traduz a resposta do IdP em decisão de acesso: liberar, segmentar ou bloquear.
O mercado global de SSO está avaliado em USD 3,34 bilhões em 2025, com projeção de USD 6,29 bilhões até 2030 (CAGR de 13,5%). Esse crescimento reflete uma dor concreta em empresas de todos os portes:
- Senha compartilhada: quando 200 pessoas usam “empresa@2024”, qualquer ex-colaborador, prestador ou visitante que anotou a senha continua com acesso.
- Tickets de suporte: troca de senha do Wi-Fi gera avalanche de chamados, especialmente em ambientes com dispositivos BYOD que não atualizam automaticamente.
- Visibilidade zero: com senha única, a equipe de TI não sabe quem está conectado. Sabe apenas que há dispositivos na rede.
Se esses pontos soam familiares, a próxima pergunta é: como isso funciona por dentro?
Arquitetura por trás: 802.1X, RADIUS e provedor de identidade
A engrenagem técnica do single sign-on Wi-Fi tem três peças que precisam conversar entre si.
1. O cliente (supplicant): é o dispositivo do usuário (notebook, smartphone, tablet). Ele precisa de um perfil Wi-Fi configurado para 802.1X, entregue via GPO (Group Policy), Microsoft Intune ou outro MDM.
2. O access point (authenticator): recebe a tentativa de conexão e a repassa ao servidor RADIUS. Ele não decide nada sozinho.
3. O servidor RADIUS + IdP: o servidor RADIUS funciona como intermediário entre o AP e o provedor de identidade, consultando o IdP (Entra ID, Okta, Google Workspace) via SAML, OIDC, LDAP ou API direta. Confirmada a identidade, o RADIUS aplica a política: VLAN, ACL, limite de banda.
O fluxo na prática:
- O notebook conecta ao SSID corporativo (configurado para 802.1X).
- O AP encaminha a solicitação ao servidor RADIUS.
- O RADIUS consulta o IdP: “Esse certificado (ou credencial) pertence a alguém autorizado?”
- O IdP confirma e retorna atributos do usuário (departamento, cargo, grupo).
- O RADIUS aplica a política correspondente e libera o acesso.
- O usuário está online. Sem prompt, sem senha digitada.
Quando o SSO está configurado para pré-logon (caso documentado pela Microsoft para Windows 10 e 11), o dispositivo já conecta à rede antes mesmo do usuário fazer login no sistema operacional. Credenciais de máquina resolvem o acesso.
Mas a qualidade dessa autenticação depende do método EAP escolhido. E aqui é onde muita empresa erra.
Métodos EAP comparados: qual usar na sua rede
O EAP (Extensible Authentication Protocol) é a moldura que define como cliente e servidor negociam a autenticação dentro do 802.1X. Existem quatro métodos relevantes, e a escolha entre eles define o nível de segurança, a complexidade de implantação e a experiência do usuário final.
| Método | Autenticação do cliente | Segurança | Complexidade | Indicação |
|---|---|---|---|---|
| EAP-TLS | Certificado digital X.509 | Mais alta (sem senha) | Alta (requer PKI + MDM) | Padrão-ouro. Obrigatório para WPA3-Enterprise 192-bit |
| PEAP (MSCHAPv2) | Usuário/senha (AD) | Média (vulnerável sem validação de certificado do servidor) | Média | Legado. Em descontinuação |
| EAP-TTLS | Flexível (senha, certificado, PAP) | Média a alta | Média | Ambientes mistos (Windows + macOS + Linux) |
| EAP-FAST | PAC (Protected Access Credential) | Média | Média | Ambientes 100% Cisco |
A recomendação do mercado em 2026 é clara: migrar de PEAP-MSCHAPv2 para EAP-TLS. PEAP depende de senha, e senhas são phisháveis, crackeáveis offline e vulneráveis a ataques man-in-the-middle em redes Evil Twin. EAP-TLS elimina o vetor por completo: a autenticação acontece por certificado digital emitido individualmente por dispositivo.
A complexidade adicional do EAP-TLS (montar uma PKI, distribuir certificados via SCEP/Intune) assusta muitas equipes. Mas serviços de Cloud RADIUS como SecureW2, IronWiFi e JumpCloud reduziram essa barreira ao entregar RADIUS como serviço, com integração nativa ao Entra ID via API. O CAPEX de hardware para NPS on-premises deixou de ser obrigatório.
Com o método EAP definido, a próxima camada de decisão é o padrão de segurança da rede sem fio.
WPA3-Enterprise e o que muda para o SSO
O WPA3-Enterprise trouxe três mudanças que impactam diretamente o single sign-on Wi-Fi:
- Validação obrigatória do certificado do servidor: bloqueia ataques man-in-the-middle em que um AP falso (Evil Twin) intercepta credenciais. No WPA2-Enterprise, essa validação era opcional e frequentemente ignorada pelos clientes.
- Criptografia de 192 bits (CNSA): modo opcional de alta segurança, voltado para governo e defesa.
- Resistência a downgrade: em tese, impede que um atacante force o cliente a voltar para WPA2.
O problema está no “modo de transição”. Muitas empresas habilitam WPA2/WPA3 simultâneo no mesmo SSID para manter compatibilidade com dispositivos antigos. Nesse modo, um atacante pode forçar downgrade de um cliente WPA3 para WPA2, reintroduzindo as vulnerabilidades que o WPA3 deveria eliminar. A solução: desativar o modo de transição assim que o parque de dispositivos permitir. Em redes novas, não faz sentido inaugurar com WPA2.
E o Wi-Fi 7? Ele acelera a transição. Adaptadores Wi-Fi 7 (como o Intel BE200) já estabelecem associação Multi-Link Operation usando WPA3-Enterprise com 802.1X nativamente. Wi-Fi 7 empresarial nasce dentro do WPA3. A pergunta não é mais “quando migrar”, mas “como migrar sem impacto”.
Se sua rede atende apenas funcionários da empresa, o caminho está desenhado: EAP-TLS + WPA3-Enterprise. Mas quando a necessidade é conectar pessoas que não pertencem à organização (pesquisadores visitando uma universidade, passageiros em um aeroporto, hóspedes em um hotel), o SSO precisa operar em escala federada.
Federação em escala: Passpoint, OpenRoaming e Eduroam
SSO federado em Wi-Fi permite que um usuário autenticado em uma organização acesse a rede de outra sem criar novas credenciais. Três iniciativas dominam esse cenário.
Eduroam: o caso mais maduro. Criado em 2002 pela comunidade acadêmica europeia, opera em mais de 100 países. Um professor da USP que visita o MIT conecta ao Wi-Fi automaticamente, usando suas credenciais institucionais. A base é 802.1X com hierarquia RADIUS (instituição, federação nacional, federação global). Em 2024, o eduroam registrou 8,4 bilhões de autenticações. Não é piloto: é infraestrutura global em produção.
Passpoint (Hotspot 2.0): certificação do Wi-Fi Alliance que define como um dispositivo descobre e se conecta automaticamente a redes Wi-Fi públicas com criptografia WPA2/WPA3-Enterprise. É a tecnologia de base sobre a qual as federações operam.
OpenRoaming: camada de federação sobre o Passpoint, mantida pela Wireless Broadband Alliance. Conecta provedores de identidade (Google, Samsung, Apple) a operadores de hotspot (Boingo, Cisco, operadoras de telecom). Em 2022, ultrapassou 1 milhão de hotspots globais e segue em expansão, com casos como a AT&T usando Boingo para offload de dados celulares em até 40 milhões de aparelhos nos EUA.
Na prática: Eduroam resolve educação e pesquisa; OpenRoaming resolve varejo, transporte e hospitalidade; Passpoint é a engrenagem que sustenta ambos. Para quem opera redes de visitantes em PDVs ou espaços de grande circulação, o conceito de federação importa porque mostra o destino: o Wi-Fi de visitante caminha para “zero prompt”. O usuário chega, o dispositivo reconhece a rede, a conexão acontece.
Porém, a maioria das empresas brasileiras ainda não está nesse estágio federado. Antes de pensar em Passpoint, precisam resolver o básico: sair da senha compartilhada para um modelo de autenticação individual. E essa migração tem roteiro.
Como migrar de senha compartilhada para SSO sem derrubar a rede
Esse é o ponto que quase nenhum guia cobre. A teoria é clara: “use 802.1X com EAP-TLS”. Na prática, há dispositivos legados, impressoras que não suportam 802.1X, câmeras IP que só falam WPA2-PSK e uma equipe que não pode ficar sem Wi-Fi durante a transição.
Um roteiro realista em cinco etapas:
- Mapeie o parque de dispositivos: separe o que suporta 802.1X (notebooks, smartphones modernos) do que não suporta (impressoras, IoT, dispositivos embarcados). Essa separação define quantos SSIDs e VLANs serão necessários.
- Crie um SSID 802.1X paralelo: não desligue o SSID com senha compartilhada ainda. Crie um segundo SSID, configure 802.1X + RADIUS apontando para seu IdP e migre primeiro os dispositivos gerenciados (os que recebem política via Intune, GPO ou Jamf).
- Isole dispositivos legados em VLAN dedicada: impressoras, câmeras e IoT que não suportam 802.1X continuam no SSID antigo, porém em VLAN restrita, com ACLs que limitam o acesso ao estritamente necessário. No Cisco ISE isso se chama MAC Authentication Bypass (MAB); no ClearPass, device profiling.
- Desative o SSID legado para usuários: quando dispositivos gerenciados estiverem no SSID 802.1X e os legados isolados, troque a senha do SSID antigo e redistribua apenas para os dispositivos mapeados. Funcionários que tentarem conectar dispositivos pessoais serão direcionados ao SSID correto.
- Evolua para EAP-TLS: se começou com PEAP (mais rápido de implantar), planeje a migração para certificados. Serviços de Cloud RADIUS com SCEP integrado ao Intune entregam certificados automaticamente ao dispositivo no momento do enrollment, sem intervenção do usuário.
O ponto-chave: a migração não é um evento. É uma transição de semanas, com SSIDs paralelos, validação gradual e um plano de rollback para cada etapa.
Durante essa transição, problemas de conectividade podem surgir. Veja também: troubleshooting avançado de redes Wi-Fi.
Até aqui, o foco foi o acesso de funcionários e dispositivos corporativos. Mas existe outro cenário igualmente comum, com dinâmica bem diferente: o Wi-Fi de visitante.
Wi-Fi de visitante: onde o captive portal entra no jogo
Quando o público que acessa sua rede não pertence à organização (clientes de restaurante, hóspedes de hotel, pacientes de clínica, alunos em evento), 802.1X com EAP-TLS não faz sentido. Você não vai emitir certificado digital para quem só quer navegar enquanto espera atendimento.
É aqui que o captive portal (portal cativo) assume o papel de autenticação. O visitante conecta ao SSID de convidados, o AP redireciona o navegador para uma página de login, e a autenticação acontece por login social (Google, Facebook, Apple), cadastro com e-mail ou celular, código SMS ou voucher.
Do ponto de vista técnico, o captive portal funciona como uma forma simplificada de SSO para visitantes: as credenciais sociais do usuário (que ele já usa em dezenas de serviços) servem como identidade única, e a rede concede acesso a partir dessa validação.
A diferença estratégica: em redes corporativas, o SSO serve para segurança e controle de acesso. Em redes de visitante, o captive portal serve também como ponto de captura de dados com consentimento. Nome, e-mail, telefone, frequência de visita: informações que um estabelecimento comercial precisa para construir relacionamento com o cliente. A integração desses dados capturados com ferramentas de marketing permite automação de campanhas e segmentação inteligente do público conectado.
A LGPD trata logs de conexão Wi-Fi de visitantes como dados pessoais, exigindo consentimento explícito, política de privacidade visível, coleta mínima e retenção limitada ao propósito. Um captive portal bem configurado atende esses requisitos nativamente: o consentimento é dado no momento do login, a política de privacidade aparece na tela, e a retenção é controlada pelo sistema.
Para estabelecimentos com alto fluxo de visitantes (academias, redes de alimentação, clínicas, hotéis), o Wi-Fi de visitante com captive portal é onde segurança, conformidade e inteligência de marketing se encontram. A rede que antes era “só internet grátis” vira um canal de captura de leads operando no automático. Se o que você precisa é um hotspot social com captive portal que transforma cada conexão em lead capturado, vale entender como essa camada se integra ao seu cenário. Provedores de internet, empresas de TI e agências que atendem múltiplos PDVs podem operar a plataforma em modelo white label e revender como SaaS próprio, criando uma fonte de receita recorrente mensal.
Perguntas frequentes
Qual a diferença entre SSO de aplicação e SSO de Wi-Fi?
SSO de aplicação usa tokens SAML ou OIDC trocados pelo navegador para liberar acesso a softwares web (Gmail, ERP, CRM). SSO de Wi-Fi usa o protocolo 802.1X e um servidor RADIUS para traduzir a autenticação do provedor de identidade em acesso à rede sem fio. O IdP pode ser o mesmo nos dois casos; a camada de transporte é diferente.
Single sign-on Wi-Fi funciona em dispositivos pessoais (BYOD)?
Sim, desde que o dispositivo suporte 802.1X e receba o perfil Wi-Fi correto. Para BYOD sem MDM, o caminho mais prático é PEAP com credenciais corporativas ou portal cativo com login social. EAP-TLS exige certificado emitido por dispositivo, o que normalmente requer enrollment via MDM.
PEAP-MSCHAPv2 ainda é seguro?
Não é considerado seguro o suficiente em 2026. Microsoft e Wi-Fi Alliance recomendam migração para EAP-TLS. PEAP-MSCHAPv2 expõe hash de senha dentro do túnel TLS e é vulnerável a phishing, ataques Evil Twin e cracking offline quando a validação do certificado do servidor não está habilitada.
O que é necessário para implantar SSO Wi-Fi com EAP-TLS?
Três componentes: um provedor de identidade (Entra ID, Okta, Google Workspace), um servidor RADIUS (on-premises como Cisco ISE/ClearPass, ou cloud como SecureW2/IronWiFi) e infraestrutura de PKI para emitir certificados digitais. Serviços de Cloud RADIUS integram os três e simplificam a operação.
Como o SSO Wi-Fi se relaciona com a LGPD?
Logs de conexão Wi-Fi (nome, e-mail, MAC, IP, timestamps) são dados pessoais sob a LGPD. O SSO centraliza a autenticação no IdP, facilitando auditoria, consentimento e revogação. Para redes de visitantes, o captive portal deve exibir política de privacidade e coletar consentimento explícito antes de liberar o acesso.
Wi-Fi 7 exige SSO?
Não formalmente. Porém, adaptadores Wi-Fi 7 já operam com WPA3-Enterprise e 802.1X por padrão. Novas implantações com Wi-Fi 7 nascem dentro do ecossistema técnico que viabiliza o SSO, tornando a adoção um caminho natural.
