WiFi invité entreprise : guide sécurisé (Nice, Cannes, Monaco)

Un WiFi invité performant est un marqueur de qualité perçue : dans un hôtel à Cannes ou un restaurant à Menton, l'accès WiFi arrive régulièrement dans les avis clients, en bien comme en mal. À l'inverse, un WiFi invité mal conçu crée deux risques majeurs. Le premier est technique : un visiteur (ou un appareil compromis) qui accède au même réseau que vos équipements internes peut atteindre la caisse, le logiciel de gestion ou la vidéosurveillance. Le second est juridique : en offrant un accès internet à des tiers, vous endossez des obligations légales de conservation de données.

L'objectif est donc triple : un accès fluide pour l'utilisateur (connexion en moins de 30 secondes), une isolation totale vis-à-vis des ressources sensibles, et une traçabilité conforme à la loi.

Les deux termes sont souvent confondus, mais ils ne recouvrent pas la même réalité. Le WiFi invité s'adresse à un public identifié et limité : les clients d'un hôtel, les visiteurs d'une entreprise, les patients d'un cabinet. L'accès est cadré (durée, mot de passe ou voucher) et lié à une relation existante. Le WiFi public est ouvert à quiconque passe à portée : terrasse de café, hall de gare, place de village.

Dans les deux cas, dès que vous offrez un accès internet à des tiers, vous êtes considéré comme fournisseur d'accès au sens du Code des postes et des communications électroniques, avec des obligations de conservation des données de connexion. Le périmètre exact (quelles données, combien de temps, qui peut les demander) est détaillé dans notre guide dédié aux obligations légales du WiFi public — une lecture indispensable avant toute ouverture d'accès.

La règle d'or : le trafic invité ne doit jamais croiser le trafic interne. Concrètement, cela passe par un VLAN dédié — un réseau logiquement séparé sur la même infrastructure physique. Le point d'accès diffuse deux SSID (par exemple « Hotel-Riviera » et « Hotel-Riviera-Invités ») ; chaque SSID est rattaché à son VLAN, et le firewall interdit toute communication du VLAN invité vers le VLAN interne. Seule la sortie internet est autorisée, éventuellement filtrée (blocage des sites illégaux, des botnets connus).

Trois compléments indispensables : l'isolation client (AP isolation), qui empêche les appareils invités de se voir entre eux — essentiel pour protéger vos clients les uns des autres ; le chiffrement WPA3 (ou WPA2/WPA3 mixte le temps de la transition) ; et un plan d'adressage DHCP dédié, dimensionné pour la pointe : un restaurant de 60 couverts peut voir 100 appareils se connecter au moment du service. Cette architecture s'appuie sur du matériel professionnel (UniFi, Omada, Aruba, Meraki) installé dans les règles — c'est le cœur de notre métier d'installateur WiFi professionnel.

Le portail captif est la page qui s'affiche à la première connexion. Il remplit quatre fonctions : afficher vos conditions d'utilisation (et recueillir le consentement RGPD si vous collectez des données), authentifier l'utilisateur, limiter la session dans le temps, et porter votre image de marque.

Plusieurs modes d'authentification existent, à choisir selon votre contexte :

• Simple clic : l'utilisateur accepte les CGU et se connecte. Fluide, adapté aux cafés et commerces.
• Mot de passe du jour : communiqué à l'accueil ou sur le ticket. Simple, mais à renouveler réellement.
• Vouchers : codes individuels à durée limitée (2 h, 24 h, durée du séjour), générés par lot. Idéal pour les hôtels : chaque chambre reçoit son code, la session expire au départ.
• Enregistrement e-mail ou SMS : utile si vous souhaitez un canal marketing — à condition d'un consentement explicite et distinct.

Pour un hôtel à Nice ou un événement à Cannes, le portail est aussi un support de communication : promotion du spa, menu du jour, horaires. Gardez-le léger : chaque seconde de chargement supplémentaire dégrade la première impression.

Un WiFi invité sans limites, c'est un utilisateur en téléchargement massif qui dégrade la visio de vos bureaux ou le streaming des autres clients. Trois mécanismes maintiennent l'équilibre :

• Limite par appareil : 10 à 25 Mbps par client invité suffisent pour la navigation, les réseaux sociaux et le streaming HD, tout en préservant la capacité globale.
• Plafond global du VLAN invité : réservez une fraction de votre lien (par exemple 40 à 60 % d'une fibre 1 Gbps) pour que l'activité interne garde toujours sa part.
• QoS / priorisation : la téléphonie IP et les terminaux de paiement passent avant le trafic invité, en toutes circonstances.

Le dimensionnement se calcule sur la pointe, pas sur la moyenne : en haute saison à Cannes, Mougins ou Menton, comptez le nombre maximal de personnes présentes simultanément et prévoyez 1,5 appareil par personne. Un monitoring simple (graphes de charge par SSID) permet ensuite d'ajuster les limites sur des données réelles plutôt qu'au ressenti.

Avant d'ouvrir votre WiFi invité au public, validez chaque point :

• ☐ Isolation vérifiée : depuis le réseau invité, aucun équipement interne (caisse, NAS, caméras, imprimantes) n'est joignable — testez réellement avec un scan depuis un appareil invité.
• ☐ Isolation client activée : deux appareils invités ne peuvent pas communiquer entre eux.
• ☐ WPA3 (ou WPA2/WPA3) activé, mot de passe robuste et distinct du réseau interne.
• ☐ Journalisation active : les logs de connexion sont horodatés, conservés 12 mois et sauvegardés hors du site.
• ☐ CGU et information RGPD affichées sur le portail captif.
• ☐ Limites de bande passante configurées par client et en global.
• ☐ Sessions à durée limitée avec expiration automatique.
• ☐ Test de charge : le réseau tient la pointe estimée (connexions simultanées réelles, pas théoriques).

Si un seul de ces points n'est pas validé, la mise en production est prématurée. Ce sont exactement les contrôles que nous effectuons en fin de chantier, avec un rapport remis au client.

Un WiFi invité se maintient. Renouvelez les mots de passe partagés à intervalle régulier (et systématiquement après le départ d'un salarié). Mettez à jour les firmwares des points d'accès et du contrôleur : les correctifs de sécurité ne servent que s'ils sont appliqués. Surveillez la charge en haute saison — à Grasse, Mougins ou Menton, juillet-août peut tripler le nombre d'appareils — et ajustez les limites avant que les plaintes n'arrivent. Enfin, formez le personnel d'accueil : savoir régénérer un voucher ou expliquer la connexion en trois phrases évite bien des frustrations client.

Pour un état des lieux de votre installation actuelle ou un projet de déploiement, demandez un audit gratuit : nous vérifions l'isolation, la conformité et la capacité, et vous remettons un plan d'action chiffré.