Red wifi para clientes: fases para una instalación segura

Red wifi para clientes: fases para una instalación segura

Tú se la apuntas o le dices que está pegada en la pizarra, y ahí empieza un problema que no sabes que tienes: esa misma clave la tiene ahora mismo el que está sentado dos mesas más allá, el del coche parado en la puerta y, posiblemente, el vecino del segundo que caza la señal desde su balcón mientras tu red de gestión sigue colgada del mismo router plano que te instaló el operador.

En España, ofrecer wifi a los clientes dejó hace tiempo de ser un detalle amable. Es una decisión técnica con obligaciones legales claras, y saltárselas sale caro. Vamos por fases.

Una red wifi abierta sin control es como dejar la puerta del local abierta con el cartel de "pasen". Pasan, y no siempre para comprar.

Segmentación de red: por qué tu TPV no puede compartir wifi con el cliente

¿Te suena eso de "tengo wifi para todo, el de la tienda y el de los clientes"? Error. Cuando un cliente entra en tu red sin segmentar, ve las impresoras compartidas, el servidor del TPV, el disco duro del ordenador de gestión y, si te descuidas, hasta la cámara IP del fondo del almacén. Eso no es conectividad, es una excursión gratis por tus sistemas, y lo peor es que el cliente ni siquiera necesita saber nada técnico: con una app cualquiera de análisis de red tu topología en segundos.

La solución pasa por VLANs (Virtual LAN): crear redes virtuales independientes dentro del mismo cableado físico. Una VLAN para tu operativa de negocio, otra para los clientes, otra para la domótica o las cámaras si las tienes. Cuando alguien se conecta a la wifi de cortesía, queda atrapado en su VLAN y no puede ni siquiera "ver" al resto de equipos. Para el cliente, la experiencia es idéntica: enchufa, navega. Para ti, la diferencia es que tu TPV, tu software de gestión y tus ficheros quedan blindados.

Dentro de esa VLAN de invitados conviene activar el aislamiento de clientes (Client Isolation). ¿Qué consigues con esto? Que los móviles de tus clientes tampoco puedan verse entre ellos. Esto cierra la puerta a que un usuario malicioso use tu red para atacar al portátil del cliente de la mesa de al lado, y te evita el disgusto de aparecer en medio de una investigación por algo que pasó en tu wifi sin que lo supieras. Cosas como el ARP spoofing o el simple escaneo de puertos desaparecen de un plumazo.

VLAN + aislamiento de clientes es el mínimo no negociable. Sin esto, lo demás es maquillar el problema.

El Artículo 25.1: lo que te obliga a guardar la ley aunque no quieras

Aquí es donde muchos comerciantes se llevan las manos a la cabeza. La Ley de Seguridad Ciudadana establece en su artículo 25.1 que los establecimientos que ofrecen wifi al público deben conservar un registro de las conexiones realizadas. ¿Para qué? Para que, si un juez o la policía lo requiere, se pueda identificar al usuario que hizo algo concreto desde esa IP en esa fecha y hora. No estamos hablando de un tecnicismo opcional: es una obligación que data de hace años y que rara vez se cumple en el pequeño comercio.

¿Qué datos hay que guardar? Lo habitual es la MAC del dispositivo, la fecha y la hora de inicio y fin de la sesión, y la identificación del usuario, algo que se cruza con lo que el cliente acepta al entrar en el portal cautivo (nombre, email, teléfono o, en su caso, validación por SMS o redes sociales). Estos logs deben guardarse en formato accesible y exportable, no en un PDF imposible de abrir cuando te lo piden.

¿Durante cuánto tiempo? Aquí viene el primer punto incómodo: la ley marca un suelo, pero las comunidades autónomas y algunos ayuntamientos han ido más allá con sus propias interpretaciones. Lo prudente es conservar esos registros al menos un año y revisar qué dice tu normativa local concreta. No te la juegues con el "creo que con seis meses vale". Y si tu integrador no sabe decirte con seguridad qué marco aplica en tu municipio, cambia de integrador.

Y una nota importante que muchos desconocen: si has implementado las medidas de registro e identificación que exige la ley, el negocio no es responsable penal directo de lo que cada cliente haga individualmente desde su dispositivo. Pero si no las tienes, sí entras en zona de riesgo. La diferencia entre una cosa y la otra es papel: un portal bien configurado, un log bien guardado, un sistema que responde cuando lo piden.

Portal cautivo y RGPD: información, consentimiento y nada de trampas

Vale, ya tienes VLAN, aislamiento y registro. ¿Cómo avisas al cliente de todo esto y consigues que lo consienta? Con un portal cautivo: esa pantalla que te sale en el móvil cuando te conectas por primera vez en un hotel, una cafetería o un comercio.

El portal cautivo no es un capricho comercial, es una pieza legal. El RGPD y la LOPDGDD dejan claro que, si vas a tratar datos personales (que lo vas a hacer, aunque sea solo el email y la MAC del dispositivo), tienes que:

• Informar de forma clara de qué datos recoges, para qué y durante cuánto tiempo, antes de que el cliente pulse "aceptar".
• Pedir consentimiento explícito, no basta con un "al continuar navegando aceptas las políticas" en letra pequeña al pie.
• Ofrecer una forma sencilla de ejercer los derechos de acceso, rectificación y supresión, con un email o un formulario visible.
• No pedir más datos de los necesarios. Puedes vivir solo con el email, no hace falta DNI ni dirección postal.

¿Wifi abierta sin contraseña y sin portal? En España, hoy, eso no cumple. Da igual que sea "solo para mirar el menú" o "porque mis clientes me lo piden": si no hay registro ni consentimiento, estás expuesto a una sanción que puede ir de los cientos a los miles de euros según la gravedad y la comunidad autónoma, sin contar el daño reputacional si el caso salta a la prensa local.

Y un detalle práctico que se le escapa a más de uno: asegúrate de que el portal redirige correctamente al usuario tras aceptar y de que el botón de "aceptar" no es una caja vacía con un check premarcado. Las inspecciones de la AEPD se fijan mucho en esto, y una pantalla mal montada te convierte en incumplidor aun teniendo la mejor intención.

Hardware profesional y cifrado WPA3: olvídate del router del operador

Vamos a la parte que más cuesta al bolsillo y a la vanidad. Ese router blanco con lucecita azul que te instaló tu operador cuando contrataste la fibra está pensado para tu casa, no para un local con veinte personas conectadas a la vez y una red de gestión al lado. No te vale, y punto.

Para un negocio local que se tome en serio el wifi de clientes necesitas:

• Puntos de acceso profesionales, no routers domésticos. Marcas como Ubiquiti, TP-Link Omada, Aruba Instant On o similares tienen gamas pensadas para pyme con precios razonables y soporte real.
• Un controlador (físico o en la nube) que gestione todos los puntos de acceso como un solo sistema, aplique las VLANs y empuje configuraciones de forma centralizada.
• Un switch gestionable para mantener la segmentación también por cable, especialmente en la zona de TPV y backoffice, donde el cable sigue siendo más estable que cualquier radio.
• Cifrado WPA3 como estándar. WPA2 sigue siendo válido y muchos dispositivos aún no soportan WPA3, pero si compras equipo nuevo, que sea WPA3 o al menos compatible. Este protocolo cierra la puerta a los ataques de diccionario y de fuerza bruta que tan fácil lo tenían con WPA y los primeros WPA2.

¿Significa esto que tienes que dejarte un dineral? Depende del tamaño del local y del integrador. Para un local pequeño de menos de cien metros cuadrados, una solución básica con dos o tres puntos de acceso gestionados y un switch se mueve en un rango razonable y se amortiza en pocos meses si reduces incidencias, evitas sanciones y cumples la ley. Lo que no tiene sentido es montar una infraestructura profesional y luego conectarla al mismo router plano de toda la vida: estarías haciendo la mitad del trabajo.

Si quieres ir un paso más allá en control de acceso, plantéate el estándar IEEE 802.1X. Permite autenticar a cada usuario de forma individual (con usuario y contraseña, o con un certificado) antes de darle acceso a la red, y convierte tu wifi en algo similar a lo que usan las empresas grandes. Para un comercio es opcional, pero para determinados sectores (sanidad, despachos profesionales, coworkings) marca una diferencia real.

Band Steering y WiFi 6: que el cliente no se queje de "va lento"

Imagina la escena: el local lleno, veinte móviles conectados, alguien por videollamada, otro subiendo una foto a Instagram, otro mirando una receta en YouTube. Si todo va por la banda de 2.4 GHz, el colapso está garantizado. Esta banda solo ofrece tres canales limpios en la práctica y se satura con cuatro dispositivos compitiendo a la vez, sobre todo en bloques de pisos donde los vecinos también la usan.

La solución estándar hoy es el doble o triple banda (2.4 GHz + 5 GHz + 6 GHz en los equipos más nuevos) con Band Steering, también llamado Client Steering. ¿Qué hace esta función? El punto de acceso detecta qué bandas soporta cada dispositivo y empuja automáticamente al cliente hacia la banda más rápida y menos congestionada que pueda usar. Resultado: el que tiene un móvil moderno acaba en 5 GHz o 6 GHz, y la de 2.4 GHz queda libre para dispositivos más antiguos o para cosas como impresoras, datáfonos o domótica.

Si vas a renovar hardware, plantéate directamente WiFi 6 (802.11ax) o WiFi 6E. WiFi 6 introduce mejoras clave para entornos densos: mejor gestión de múltiples dispositivos simultáneos gracias a OFDMA, mayor eficiencia energética y latencias más bajas, que se notan mucho en videollamadas y herramientas de trabajo en la nube. WiFi 6E añade la banda de 6 GHz, que es territorio virgen en la mayoría de locales y deja respirar a la red cuando hay mucho tráfico. Y si tienes visión a tres o cuatro años, empieza a escuchar hablar de WiFi 7, que ya empieza a asomar en catálogos y que multiplica los canales disponibles.

Tres bandas con Band Steering no es un capricho de marketing: es lo que separa un wifi funcional de una red que va a trompicones cada sábado por la tarde.

El primer paso que tienes que dar hoy

No te lo pienses como un proyecto a seis meses. Hay un primer paso que puedes dar esta misma semana y que ya te coloca en el lado correcto:

1. Aparta el router plano del operador para clientes. Que se quede solo en backoffice, si es que lo necesitas para la gestión interna.

2. Separa físicamente la red de gestión de la wifi de invitados. Aunque sea con dos routers distintos y dos SSIDs diferentes, en lo que llega el equipo profesional.

3. Configura un portal cautivo básico, aunque sea con la versión gratuita de algunas soluciones cloud para pyme, y empieza a recoger consentimiento informado de verdad.

4. Documenta fechas, horas, MACs y consentimientos. Aunque sea en una hoja de cálculo las primeras semanas, hasta tener un sistema serio.

5. Habla con un integrador local o un proveedor de confianza para que te plantee presupuesto con hardware profesional, segmentación real y plan de mantenimiento.

Eso ya te saca de la zona de riesgo más grave. La inversión buena, con VLANs robustas, WPA3 y todo el pack, la haces en la siguiente fase, pero sin estos cinco puntos no duermas tranquilo. Tus clientes quieren wifi, sí, pero no a costa de tu local, tus datos ni tu tranquilidad legal. Y la próxima vez que alguien se siente en la barra y saque el móvil, vas a saber exactamente quién es, qué dispositivo usa y durante cuánto tiempo navega. Eso, en un negocio local, vale oro.