Pour la sécurité et l’IT
Contrôle d’accès au Wi‑Fi invités sans faire transiter le trafic des utilisateurs par Tagnect.
Tagnect se coordonne avec votre contrôleur réseau pour émettre et gérer des identifiants invités temporaires. Le réseau de l’établissement continue de transporter le trafic des utilisateurs ; Tagnect ne prend que les décisions d’accès.
Topologie
Votre réseau d’exploitation ne passe jamais par Tagnect
Tagnect ne gère que le réseau des invités. Les caisses, les terminaux de paiement, les systèmes internes et les appareils propres à l’établissement restent sur leur propre réseau, avec une clé fixe, que Tagnect ne modifie pas et dont il ne dépend pas. Si un problème survient sur le réseau des invités, l’établissement continue de vendre. Lire la documentation sur l’isolation du réseau critique.
- Réseau d’exploitation isoléLes systèmes de caisse, les terminaux de paiement, les caméras et les systèmes internes restent sur un SSID distinct avec une clé fixe, hors rotation des mots de passe.
- Tagnect uniquement sur le réseau des invitésLes mots de passe rotatifs, les tags et les OTP ne s’appliquent qu’aux visiteurs de passage.
- Si le cloud est indisponibleLe réseau d’exploitation n’est pas affecté et les invités déjà connectés continuent de naviguer ; seules les nouvelles connexions par tag attendent le retour du service.
- Testé en chargeTests de charge avec des rafales de requêtes quasi simultanées, sans erreur ni instabilité. Le trafic des invités ne passe jamais par les serveurs de Tagnect.
Plan de contrôle et chemin des données
De l’orchestration, pas de l’interception
Tagnect prend les décisions d’accès et communique avec les équipements réseau via leur API ou le connecteur local. Il n’agit jamais comme passerelle en coupure pour le trafic des invités.
- Aucun point d’étranglement en ligneLe trafic ne passe jamais par Tagnect — aucun boîtier unique à saturer ou à compromettre.
- Connecteur en sortie uniquementLe connecteur local n’ouvre que des connexions sortantes et signe chaque preuve d’identité d’appareil (HMAC‑SHA256).
- Administration renforcéeL’accès des opérateurs repose sur JWT, MFA/TOTP et des listes d’adresses IP autorisées, avec un journal d’audit en ajout seul.
- Minimisation des donnéesLes adresses MAC des appareils sont supprimées 15 minutes après l’expiration de la session ou de l’OTP.
Identifiants et validation
Limités dans le temps par conception
Les NTags contiennent des données d’identification limitées dans le temps, que l’application sélectionne hors ligne. Le serveur valide le tag enregistré, sa génération et le contexte temporel ; les contrôleurs gérés ajoutent la validation des appareils et le contrôle de l’état d’accès.
- Identifiants rotatifsLes mots de passe changent à chaque créneau ; un identifiant copié expire avec son créneau et son délai de grâce.
- Restreint jusqu’à validationSur les contrôleurs gérés, un appareil peut rester en accès restreint jusqu’à ce que le serveur le valide.
- Appareils déléguésUn ordinateur portable reçoit un code à usage unique depuis un téléphone déjà validé, avec sa propre identité.
Données et confidentialité
Les données appartiennent à l’établissement
Tagnect est conçu pour ne traiter que ce qui est nécessaire pour accorder l’accès. Les invités ne s’inscrivent pas, nous ne constituons pas de profils et nous n’utilisons pas les données à des fins publicitaires. L’établissement fixe les règles et est le responsable du traitement des données d’accès ; Tagnect agit en tant que sous‑traitant, conformément au RGPD (GDPR) et à la LGPD brésilienne.
- Aucune inscription des invitésNi formulaire, ni compte, ni e‑mail, ni numéro de téléphone : l’invité touche le tag avec son téléphone et se connecte.
- Minimisation par défautL’adresse MAC est supprimée 15 minutes après la fin de la session ; l’historique des lectures de tags après 1 jour (configurable jusqu’à 45).
- Gouvernance par l’établissementL’établissement décide des règles de conservation et d’accès ; Tagnect ne traite les données que pour exploiter le service.
- Pour les secteurs sensiblesCabinets médicaux, cabinets d’avocats, résidences et réseaux d’entreprise proposent le Wi‑Fi invités sans créer de nouvelle base de données personnelles.
Compatibilité
Intégrations multi‑constructeurs
Tagnect n’est lié à aucun constructeur : il s’intègre au contrôleur ou au routeur déjà installé. La durée de session, les plages horaires, les délais de grâce, les groupes et l’accès par OTP fonctionnent sur toutes les plateformes disponibles ci‑dessous. Les contrôles de trafic suivent les spécifications de chaque équipement.
| Plateforme | Modèle d’identifiants | Session, plages horaires, délai de grâce, OTP | Contrôles de trafic (bande passante, quota, VLAN, isolation, limites d’appareils) |
|---|---|---|---|
| Ubiquiti UniFi | PSK privée par groupe (PPSK) | ✓ | Selon le contrôleur |
| TP‑Link Omada | PSK par groupe / portail | ✓ | Selon le contrôleur |
| Cisco Meraki | Identity PSK (iPSK) + politiques de groupe, directement dans le cloud Meraki (sans connecteur) | ✓ | Selon le contrôleur |
| MikroTik RouterOS 7.17+ (paquet wifi) | Plusieurs PSK par SSID (multi‑passphrase) ; connecteur dans le routeur | ✓ | Réseaux isolés par bridge et pare‑feu ; rotation, expiration et déconnexion ; bande passante et quota en cours d’évolution |
| Routeurs OpenWrt avec le contrôleur Tagnect | PSK rotative (plusieurs clés) | ✓ | Rotation, expiration et désauthentification ; contrôles plus fins selon le modèle |
| Juniper Mist / HPE Aruba | PSK par utilisateur (Mist PSK / MPSK) | En développement | En développement |
Détails par constructeur sur la page Intégrations. Confirmez le modèle et le firmware du contrôleur avec notre équipe avant tout déploiement.
Glossaire
Termes techniques utilisés sur ce site
Pour éviter toute ambiguïté avec les équipes IT et télécoms, nous employons ces termes de la même façon sur tout le site.
| Terme | Aussi appelé | Dans Tagnect |
|---|---|---|
| Point d’accès (AP) | Access point, borne Wi‑Fi | La radio qui diffuse le Wi‑Fi. Tagnect ne remplace pas les points d’accès. |
| Contrôleur | WLAN controller | Le système qui gère les points d’accès (UniFi Network, Omada, tableau de bord Meraki). Tagnect s’y intègre via son API. |
| SSID | Nom du réseau | Le nom du réseau Wi‑Fi que le visiteur voit sur son téléphone. |
| SSID virtuel (VAP) | Virtual AP | Un réseau supplémentaire sur la même radio. Sur MikroTik, l’installateur crée un SSID virtuel par réseau sur chaque radio. |
| PSK, PPSK, iPSK, MPSK | Clé pré‑partagée (pre‑shared key) ; PSK privée, d’identité ou multiple | Mots de passe WPA2 par groupe que Tagnect fait tourner automatiquement à chaque créneau. |
| VLAN | Réseau local virtuel | Sépare le trafic de chaque groupe, selon le contrôleur. |
| Isolation des clients | Client isolation, AP isolation | Empêche les appareils d’un même réseau de se voir entre eux. |
| Portail captif | Captive portal, splash page | Une page de connexion à l’entrée du réseau. Tagnect supprime le portail captif : les visiteurs ne saisissent jamais rien sur une page web. |
| Réseau restreint | Walled garden | Un accès limité qui permet uniquement de télécharger l’application Tagnect. |
| Désauthentification | Deauthentication, deauth | Déconnexion d’un appareil du point d’accès, utilisée à la fin d’une plage horaire et lors d’une révocation. |
Affirmations de sécurité et périmètre
Une réduction des risques, présentée honnêtement
Les identifiants limités dans le temps réduisent la durée de vie utile d’un identifiant copié, et la suppression du portail captif supprime un vecteur d’hameçonnage. Tagnect ne remplace ni la protection des terminaux, ni un transport sécurisé, ni un pare‑feu correctement configuré, ni la remédiation d’une passerelle compromise.
- Fin du portail captifAucune page de connexion web sur laquelle les visiteurs doivent saisir quoi que ce soit.
- Fin des interfaces d’administration fragilesLa gestion repose sur JWT, MFA/TOTP et des listes d’adresses IP autorisées.
- Des identifiants volés dévalorisésMots de passe rotatifs et limités dans le temps ; sur les contrôleurs gérés, ils n’accordent à eux seuls qu’un accès restreint.
Brevet en instance — BR 10 2026 017581‑1
Examinez un déploiement avec notre équipe technique
Indiquez le modèle du contrôleur, le firmware, l’architecture du réseau invités et les exigences d’accès que vous souhaitez valider.