Wi-Fi Marketing com autenticação SAML consiste em usar o login único corporativo (SSO) como porta de entrada para a rede Wi-Fi, aproveitando dados já existentes no diretório de identidade da empresa para segmentar comunicações, sem pedir cadastro ao usuário. Funciona apenas em SSIDs configurados com captive portal, nunca em redes WPA2-Enterprise ou WPA3-Enterprise autenticadas por 802.1X. É uma estratégia voltada a públicos identificados, como colaboradores, parceiros e visitantes recorrentes de ambientes corporativos.

Wi-Fi corporativo raramente é pensado como canal de marketing. É tratado como infraestrutura, algo que precisa funcionar e não dar dor de cabeça para o time de TI. Só que toda vez que alguém se conecta a uma rede protegida por login único, a empresa já sabe quem é essa pessoa antes mesmo de ela abrir o navegador. Isso muda o jogo: em vez de pedir e-mail e telefone numa tela de captive portal, como se faz em Wi-Fi público de varejo, o SAML permite reconhecer o usuário pelo que a organização já sabe sobre ele.

Este artigo explica como a autenticação SAML se encaixa numa rede Wi-Fi corporativa, onde ela funciona e onde não funciona, e como transformar esse login em uma camada de comunicação direcionada sem comprometer segurança ou conformidade com a LGPD.

O que é autenticação SAML aplicada ao Wi-Fi corporativo

SAML (Security Assertion Markup Language) é um protocolo baseado em XML que permite a um provedor de identidade (IdP), como Azure AD, Okta ou Google Workspace, confirmar a identidade de um usuário para um provedor de serviço (SP), sem que a senha trafegue até o serviço final. Aplicado ao Wi-Fi, o SP é o próprio captive portal da rede.

Como o protocolo funciona na prática

O fluxo segue uma lógica de redirecionamento. O dispositivo se conecta ao SSID, é interceptado pelo captive portal, redirecionado para a tela de login do IdP corporativo, autentica normalmente (inclusive com autenticação multifator, se a empresa exigir) e retorna ao controlador de rede com uma asserção SAML assinada digitalmente. O controlador valida essa asserção e libera o acesso à internet.

Do ponto de vista do usuário, a experiência é parecida com fazer login em qualquer sistema interno usando a conta corporativa. Não há formulário de cadastro, não há necessidade de criar senha específica para o Wi-Fi, e o acesso pode ser revogado automaticamente quando a conta do colaborador é desativada no diretório.

SAML, 802.1X e captive portal simples não são a mesma coisa

Esse é o ponto onde bastante conteúdo superficial erra. Existem pelo menos três caminhos distintos para autenticar alguém numa rede Wi-Fi corporativa, e eles não se combinam livremente:

Método	Como funciona	Onde é usado
802.1X com RADIUS (WPA2/WPA3-Enterprise)	Autenticação na camada de rede, antes de qualquer IP ser atribuído, via EAP	Redes internas de colaboradores, exige certificado ou credencial de domínio no dispositivo
Captive portal simples	Página web após conexão, pedindo e-mail, telefone, voucher ou login social	Wi-Fi de visitantes, varejo, hotelaria
Captive portal com SAML SSO	Página web após conexão, redirecionando para o IdP corporativo	Wi-Fi de visitantes com identidade conhecida, BYOD, áreas comuns corporativas

Fabricantes como Fortinet e WatchGuard documentam essa separação de forma explícita: modos de segurança baseados em 802.1X, como WPA2-Enterprise e WPA3-Enterprise, não suportam captive portal. O SAML, por depender de um redirecionamento HTTP para a tela de login do IdP, só se aplica a SSIDs configurados em modo aberto, OWE, WPA2-Personal ou WPA3-SAE com captive portal habilitado. Isso significa que a rede “principal” dos colaboradores, geralmente protegida por 802.1X, normalmente não é onde o SAML entra em cena. Ele aparece com mais frequência em SSIDs de convidados, BYOD ou áreas comuns, exatamente onde antes se usava e-mail ou voucher.

Por que o SAML não é apenas mais um captive portal

A diferença central está na origem do dado. Num captive portal tradicional, a empresa pede a informação ao usuário na hora, e essa informação pode estar incompleta, errada ou duplicada. No modelo SAML, o dado já existe no diretório corporativo: cargo, departamento, unidade, e-mail corporativo e, em alguns casos, grupos de acesso.

O papel do walled garden e da isenção de firewall

Para o redirecionamento funcionar, o firewall precisa liberar o tráfego até o IdP antes da autenticação ser concluída, o chamado walled garden. Em ambientes com FortiGate, por exemplo, isso é feito criando uma política de firewall com a opção captive-portal-exempt habilitada, apontando para o IP do servidor SAML. Sem essa isenção, o usuário fica preso em um loop de redirecionamento e a tela de login nunca carrega. É um detalhe operacional, mas é também o motivo mais comum de implementações de SAML em Wi-Fi que “não funcionam” na primeira tentativa.

Certificados, metadados e o ponto de atrito real

Outro detalhe que costuma passar despercebido é a dependência de certificados X.509 trocados entre IdP e SP, e de metadados atualizados. Quando o certificado do IdP expira ou é rotacionado sem atualizar o SP, a autenticação para de funcionar de uma hora para outra, sem qualquer alteração visível na configuração do Wi-Fi. Isso não é um problema exclusivo de Wi-Fi, é comportamento padrão de qualquer integração SAML, mas em redes de acesso ele costuma ser descoberto tarde, porque poucas equipes de TI monitoram esse certificado com a mesma atenção que dão a outros sistemas.

O que muda no Wi-Fi Marketing quando a identidade já é conhecida

Wi-Fi Marketing, de forma geral, é a prática de usar a conexão à internet como ponto de contato: captar um dado de contato, medir frequência de visita, segmentar por comportamento e, a partir disso, enviar comunicação relevante. Em ambientes de varejo e hotelaria, isso normalmente depende de pedir algo ao usuário no momento da conexão.

Em ambiente corporativo com SAML, a lógica se inverte. Não é preciso pedir nada, porque o dado de identidade já está disponível assim que a asserção SAML é validada. Isso abre possibilidades específicas, mas também reduz o escopo do que pode ser feito.

Segmentação sem formulário

Com os atributos vindos do IdP (departamento, unidade, cargo, grupo de segurança), é possível segmentar a comunicação exibida na tela pós-login sem qualquer fricção adicional para o usuário. Um visitante de um parceiro comercial pode ver uma mensagem institucional diferente da que aparece para um colaborador do setor de vendas, por exemplo, porque o grupo do Active Directory já indica a diferença.

Na prática, isso funciona bem para: comunicados internos segmentados por unidade, campanhas de engajamento voltadas a determinados departamentos, pesquisas de clima direcionadas a grupos específicos e avisos de segurança da informação para quem acessa VLANs sensíveis.

Não funciona bem, e aqui vale a ressalva, para captação de leads externos. Se o objetivo é converter um visitante desconhecido em contato comercial, o SAML corporativo é o caminho errado, porque ele pressupõe que a pessoa já tem uma identidade cadastrada em algum diretório controlado pela empresa. Não é uma ferramenta de aquisição, é uma ferramenta de relacionamento com quem já está dentro do ecossistema.

Personalização vinculada a atributos, não a comportamento de navegação

Diferente de captive portals de varejo, que frequentemente cruzam dados de conexão com comportamento de compra ou frequência de visita, o modelo SAML tende a operar sobre atributos estáticos do diretório. É possível registrar frequência e duração de conexão no log do controlador, mas cruzar isso com CRM ou automação de marketing exige uma integração adicional, que a maioria das soluções puramente técnicas de rede não entrega de fábrica.

Como implementar Wi-Fi Marketing com SAML na prática

Passo a passo técnico

1. Defina o SSID de destino. Precisa ser um SSID configurado em modo aberto, OWE, WPA2-Personal ou WPA3-SAE com captive portal ativado. Não tente aplicar sobre uma rede 802.1X existente.
2. Escolha o modo de portal. A maioria dos fabricantes (WatchGuard, Fortinet, além de plataformas cloud como Cloudi-Fi e IronWiFi) exige portal hospedado em nuvem para habilitar o plugin SAML.
3. Configure o IdP como provedor de identidade. No Azure AD, Okta ou Google Workspace, é preciso registrar o captive portal como aplicação SAML, definindo URL de resposta (ACS), Entity ID e atributos que serão enviados na asserção (grupo, departamento, e-mail).
4. Exporte e importe os metadados e certificados. O certificado do IdP precisa ser importado no controlador de rede, e o metadata do SP normalmente precisa ser registrado no IdP.
5. Libere o walled garden. Crie a política de firewall isentando o tráfego até o domínio de login do IdP, sob risco de a tela de autenticação nunca carregar.
6. Defina a página pós-login. É aqui que entra o marketing: banners, avisos, links segmentados por grupo do usuário, sempre respeitando a estrutura de atributos recebida na asserção.
7. Teste com múltiplos perfis de grupo antes de liberar em produção. Um erro comum é testar apenas com uma conta de administrador, que geralmente pertence a todos os grupos e mascara falhas de segmentação.

Integração com CRM e ferramentas de automação

Para que a segmentação vá além da tela de boas-vindas, os atributos SAML (ou os logs de conexão associados a eles) precisam ser enviados a um CRM ou plataforma de automação. Isso normalmente é feito via webhook do controlador de rede ou via exportação periódica de logs, não pelo protocolo SAML em si, que foi desenhado para autenticação, não para sincronização contínua de dados de marketing. Empresas que tentam usar o SAML como se fosse uma API de CRM tendem a se frustrar com a limitação, porque não é essa a função do protocolo.

Vantagens e limitações do modelo

Aspecto	Vantagem	Limitação
Experiência do usuário	Sem formulário, login único já conhecido	Depende de o usuário ter conta no IdP corporativo
Qualidade do dado	Dado vem do diretório, geralmente correto e atualizado	Pouco útil para captar contatos externos novos
Segurança	Elimina senhas específicas do Wi-Fi, revogação automática	Depende de certificados e metadados sempre atualizados
Segmentação	Baseada em atributos reais de grupo e cargo	Cruzamento com comportamento de navegação exige integração extra
Governança	Acesso auditável e vinculado à identidade	Não substitui 802.1X onde a política de segurança já o exige

LGPD e a base legal para tratar esses dados

Ainda que o SAML evite pedir dados diretamente ao usuário, os atributos recebidos na asserção (nome, e-mail corporativo, cargo, departamento) são dados pessoais nos termos da Lei Geral de Proteção de Dados, e seu tratamento continua sujeito às mesmas obrigações de qualquer outro dado coletado via Wi-Fi.

Base legal, não apenas consentimento

Em ambiente corporativo, a base legal costuma ser diferente da usada em Wi-Fi de varejo. Enquanto uma rede pública de loja geralmente depende do consentimento do usuário, uma rede corporativa que autentica colaboradores via SAML pode se apoiar na execução de contrato de trabalho ou no legítimo interesse da empresa em controlar acesso à própria infraestrutura, desde que a finalidade do tratamento seja compatível com essa base e o usuário tenha sido informado sobre o que é feito com o dado, inclusive quando esse dado alimenta comunicação de marketing interno.

Se o mesmo SSID SAML for usado para visitantes externos, como parceiros ou fornecedores, a base legal pode precisar de reavaliação, porque a relação jurídica com essas pessoas é diferente da relação com colaboradores.

Segurança técnica como parte da conformidade

A lei não especifica algoritmos, mas exige medidas técnicas e administrativas capazes de proteger dados pessoais. No caso do Wi-Fi com SAML, isso se traduz em práticas concretas: HTTPS obrigatório na página de captive portal (a asserção SAML não deve trafegar em texto claro), criptografia do canal Wi-Fi adequada ao SSID em uso, e retenção de logs de conexão limitada ao tempo necessário para a finalidade declarada, não indefinidamente.

Erros comuns na implementação

Alguns erros se repetem em projetos de Wi-Fi Marketing com SAML, independentemente do fabricante escolhido:

• Tentar aplicar SAML a um SSID já configurado com WPA2-Enterprise ou WPA3-Enterprise, ignorando que captive portal e 802.1X não coexistem no mesmo SSID.
• Esquecer de isentar o domínio do IdP no firewall, gerando loop de redirecionamento.
• Testar apenas com contas administrativas, mascarando falhas de segmentação por grupo.
• Tratar a página pós-login como espaço puramente publicitário, sem considerar que o usuário já passou por uma autenticação corporativa e espera relevância, não propaganda genérica.
• Deixar de monitorar a validade dos certificados X.509 trocados entre IdP e SP.
• Presumir que o SAML substitui o consentimento em todos os cenários, mesmo quando a rede também atende visitantes externos.

Quando faz sentido usar SAML para Wi-Fi Marketing

Funciona bem em cenários como um campus corporativo com milhares de colaboradores e visitantes recorrentes de parceiros cadastrados no mesmo diretório, onde comunicação segmentada por unidade ou departamento tem valor real e a base de identidade já é confiável.

Funciona mal em cenários como uma rede de lojas que quer captar contato de clientes esporádicos que nunca tiveram vínculo prévio com a empresa. Nesse caso, pedir e-mail ou usar login social no captive portal continua sendo o caminho mais direto, porque não existe identidade prévia a ser reconhecida via SAML.

Wi-Fi Marketing com autenticação SAML entrega algo que captive portals tradicionais não conseguem: comunicação segmentada sem fricção, construída sobre um dado que a empresa já possui e já confia. O preço dessa vantagem é escopo reduzido, porque o modelo só funciona onde existe identidade prévia no diretório corporativo, e exige atenção contínua a detalhes técnicos que, isoladamente, parecem pequenos, mas derrubam a autenticação inteira quando ignorados: certificado vencido, firewall mal configurado, SSID no modo errado. Antes de decidir por esse caminho, vale medir o objetivo real da rede. Se é reconhecer e engajar quem já está dentro da organização, o SAML é a escolha certa. Se é captar contatos novos e desconhecidos, a resposta está em outro lugar.

---

Perguntas frequentes

SAML substitui a necessidade de 802.1X em uma rede corporativa?

Não. São protocolos com funções diferentes. O 802.1X autentica o dispositivo na camada de rede antes de qualquer IP ser atribuído, geralmente usado nas redes internas protegidas por WPA2/WPA3-Enterprise. O SAML autentica através de uma página web após a conexão, em SSIDs configurados com captive portal. Muitas empresas usam os dois, cada um em um SSID diferente, conforme o público e o nível de confiança exigido.

É possível usar SAML em uma rede WPA3-Enterprise?

Não diretamente. Modos de segurança baseados em 802.1X, incluindo WPA2-Enterprise e WPA3-Enterprise, não oferecem suporte a captive portal na maioria dos controladores de mercado, e é o captive portal que viabiliza o redirecionamento necessário para o fluxo SAML. Para usar SAML, o SSID precisa estar em modo aberto, OWE, WPA2-Personal ou WPA3-SAE.

Quais dados o Wi-Fi corporativo recebe do usuário ao autenticar via SAML?

Depende dos atributos configurados na asserção pelo administrador do IdP. Normalmente incluem nome, e-mail corporativo, e podem incluir departamento, cargo e grupos de segurança. O protocolo não expõe a senha do usuário ao captive portal em nenhum momento, apenas uma confirmação assinada digitalmente de que a autenticação foi bem-sucedida.

O uso de SAML dispensa o consentimento exigido pela LGPD?

Depende da relação jurídica com quem está se conectando. Para colaboradores, a base legal costuma se apoiar na execução do contrato de trabalho ou no legítimo interesse da empresa em administrar sua própria infraestrutura, desde que a finalidade seja informada. Para visitantes externos autenticados pelo mesmo mecanismo, essa base pode não se aplicar da mesma forma, e vale reavaliar se consentimento explícito é necessário.

Wi-Fi Marketing com SAML funciona para captar leads de clientes externos?

Na maioria dos casos, não é a ferramenta adequada. O modelo pressupõe que a pessoa já tenha identidade cadastrada em um diretório controlado pela empresa ou por um parceiro integrado. Para captar contatos novos e desconhecidos, como em Wi-Fi de varejo ou eventos abertos ao público, métodos tradicionais de captive portal (e-mail, login social, voucher) continuam sendo mais eficazes.

O que acontece se o certificado do provedor de identidade expirar?

A autenticação para de funcionar, geralmente sem qualquer mudança visível na configuração da rede Wi-Fi. Como o certificado X.509 é o que garante a confiança entre IdP e captive portal, sua expiração ou rotação sem atualização correspondente no controlador interrompe o fluxo de login. É recomendável monitorar a validade desse certificado com a mesma prioridade dada a outros ativos críticos de segurança.

Qual é o erro mais comum ao configurar SAML em captive portal?

Esquecer de isentar o domínio do provedor de identidade nas políticas de firewall, o chamado walled garden. Sem essa isenção, o dispositivo fica preso em loop de redirecionamento, porque o tráfego necessário para carregar a tela de login do IdP é bloqueado pela própria política que deveria ser suspensa apenas após a autenticação.

Essa abordagem exige uma plataforma específica de captive portal?

A maioria dos controladores de rede corporativos e plataformas de Wi-Fi em nuvem oferece suporte a SAML, incluindo soluções de fabricantes como Fortinet e WatchGuard e plataformas independentes como Cloudi-Fi e IronWiFi. O requisito comum é que o captive portal esteja em modo hospedado em nuvem para habilitar o módulo SAML, e a configuração específica varia conforme o fabricante.