Tagnect

セキュリティ・ITの方へ

ユーザーのトラフィックをTagnect経由にせずに行う、ゲストWi‑Fiのアクセス制御。

Tagnectはネットワークコントローラーと連携して、一時的なゲスト認証情報を発行・管理します。ユーザーのトラフィックは引き続き施設のネットワークが運び、Tagnectは接続の可否を判断するだけです。

技術ブリーフィングを依頼対応状況

トポロジー

業務ネットワークがTagnectを経由することはありません

Tagnectが管理するのはゲストネットワークだけです。レジ、カード決済端末、社内システム、施設自身の機器は、固定キーを使う専用のネットワークに置かれたままで、Tagnectがそれを変更することも、それに依存することもありません。ゲストネットワークで問題が起きても、施設は営業を続けられます。基幹ネットワークの分離に関するドキュメントを読む。

  • 分離された業務ネットワークPOSシステム、カード決済端末、カメラ、社内システムは、パスワードのローテーション対象外である固定キーを持つ別のSSIDに置かれたままです。
  • Tagnectはゲストネットワークのみローテーションパスワード、タグ、OTPが適用されるのは、一時的なゲストだけです。
  • クラウドが利用できない場合業務ネットワークは影響を受けず、すでに接続済みのゲストは引き続き閲覧でき、タグによる新規サインインだけがサービス復旧まで待機します。
  • 負荷テスト済みほぼ同時のリクエストが集中するストレステストで、エラーも不安定な動作も発生しませんでした。ゲストのトラフィックがTagnectのサーバーを通過することはありません。

コントロールプレーンとデータパス

傍受ではなく、オーケストレーション

Tagnectは接続の可否を判断し、APIまたはローカルコネクターを通じてネットワーク機器と通信します。ゲストのトラフィックに対するインラインのゲートウェイとして動作することはありません。

  • インラインのボトルネックなしトラフィックはTagnectを経由しないため、過負荷や侵害の対象となる単一の機器がありません。
  • アウトバウンド専用のコネクターローカルコネクターはアウトバウンド接続のみを開き、端末の身元証明ごとに署名（HMAC‑SHA256）します。
  • 強化された管理運用担当者のアクセスにはJWT、MFA/TOTP、IP許可リストを使用し、追記専用の監査台帳を保持します。
  • データの最小化端末のMACアドレスは、セッションまたはOTPの期限が切れてから15分後に削除されます。

認証情報と検証

設計の段階から有効期間を限定

NTagには、アプリがオフラインで選択する、有効期間のある認証情報データが保存されています。サーバーは登録済みのタグ、その世代、時間のコンテキストを検証し、管理型コントローラーでは端末の検証と接続状態の制御が加わります。

  • ローテーションする認証情報パスワードは時間ブロックごとに変わり、コピーされた認証情報はそのブロックと猶予期間とともに失効します。
  • 検証されるまで制限管理型コントローラーでは、サーバーが検証するまで端末を制限状態にとどめておけます。
  • 委任された端末ノートPCは、すでに検証済みのスマートフォンから、固有の識別情報を持つ使い切りのパスコードを受け取ります。

データとプライバシー

データは施設のものです

Tagnectは、接続の許可に必要な情報のみを処理するよう設計されています。ゲストは登録せず、プロフィールも作成せず、データを広告に利用することもありません。ルールは施設が定め、施設が接続データの管理者（コントローラー）です。TagnectはGDPR（EU一般データ保護規則）およびブラジルのLGPDに沿って、処理者として動作します。

  • ゲストの登録不要フォーム、アカウント、メールアドレス、電話番号は不要です。ゲストはスマートフォンをタッチするだけで接続できます。
  • 初期設定で最小化MACアドレスはセッション終了の15分後に、タグの読み取り履歴は1日後に削除されます（最大45日まで設定可能）。
  • 施設によるガバナンス保持期間と接続のルールは施設が決定し、Tagnectはサービスを運用するためにのみデータを処理します。
  • 機微な業種のためにクリニック、法律事務所、集合住宅、企業ネットワークでも、新たな個人データのデータベースを作ることなく、ゲストWi‑Fiを提供できます。

互換性

マルチベンダー連携

Tagnectは特定のベンダーに縛られず、すでに設置されているコントローラーやルーターと連携します。セッション時間、利用可能な時間帯、猶予期間、グループ、OTPによる接続は、以下の利用可能なすべてのプラットフォームで動作します。トラフィック制御は各機器の仕様に従います。

プラットフォーム認証情報モデルセッション、時間帯、猶予、OTPトラフィック制御（帯域幅、クォータ、VLAN、分離、端末台数の制限）
Ubiquiti UniFiグループ別プライベートPSK（PPSK）✓コントローラーの仕様に準拠
TP‑Link Omadaグループ別PSK／ポータル✓コントローラーの仕様に準拠
Cisco MerakiIdentity PSK（iPSK）＋グループポリシー、Merakiクラウド上で直接連携（コネクターなし）✓コントローラーの仕様に準拠
MikroTik RouterOS 7.17以上（wifiパッケージ）SSIDごとの複数PSK（multi‑passphrase）、ルーター内部のコネクター✓ブリッジとファイアウォールによるネットワーク分離、ローテーション、失効、切断。帯域幅とクォータは開発中
Tagnectコントローラー搭載のOpenWrtルーターローテーションPSK（複数キー）✓ローテーション、失効、認証解除（deauth）。きめ細かな制御は機種による
Juniper Mist / HPE Arubaユーザー別PSK（Mist PSK / MPSK）開発中開発中

ベンダーごとの詳細は連携のページをご覧ください。導入前に、コントローラーの機種とファームウェアを弊社チームとご確認ください。

用語集

このサイトで使用する技術用語

ITや通信の担当者との間で誤解が生じないよう、このサイト全体で次の用語を同じ意味で使用しています。

用語別名Tagnectでの意味
アクセスポイント（AP）Wireless access pointWi‑Fiを発信する無線機器です。Tagnectがアクセスポイントを置き換えることはありません。
コントローラーWLAN controllerアクセスポイントを管理するシステムです（UniFi Network、Omada、Merakiダッシュボード）。TagnectはAPI経由で連携します。
SSIDネットワーク名ゲストのスマートフォンに表示されるWi‑Fiのネットワーク名です。
仮想SSID（VAP）Virtual AP同じ無線上に追加されるネットワークです。MikroTikでは、インストーラーが無線ごとにネットワーク別の仮想SSIDを1つ作成します。
PSK、PPSK、iPSK、MPSK事前共有キー（Pre‑shared key）、プライベート／アイデンティティ／マルチプルPSKTagnectが時間ブロックごとに自動でローテーションする、グループ別のWPA2パスワードです。
VLANVirtual LANコントローラーに応じて、グループごとのトラフィックを分離します。
クライアント分離AP isolation同じネットワーク上の端末同士が互いを見られないようにします。
キャプティブポータルSplash pageネットワークの入口に表示されるログインページです。Tagnectはキャプティブポータルを廃止しており、ゲストがWebページに何かを入力することはありません。
ウォールドガーデン制限ネットワーク（Walled garden）Tagnectアプリのダウンロードだけを許可する、限定的な接続です。
認証解除（Deauthentication）Deauthアクセスポイントから端末を切断する動作で、時間帯の終了時や権限の取り消し時に使用します。

セキュリティに関する主張とその範囲

リスクの低減であることを、正直にお伝えします

有効期間のある認証情報は、コピーされた認証情報が有効な期間を短くし、キャプティブポータルをなくすことでフィッシングの経路を1つ取り除きます。Tagnectは、エンドポイント保護、安全な通信、適切に設定されたファイアウォール、侵害されたゲートウェイの復旧に代わるものではありません。

  • キャプティブポータルを廃止ゲストが入力するWebのログインページがありません。
  • 脆弱な管理画面をなくす管理はJWT、MFA/TOTP、IP許可リストのもとで行われます。
  • 盗まれた認証情報の価値を下げるローテーションし有効期間のあるパスワードで、管理型コントローラーでは、それ単体では制限状態しか得られません。

特許出願中 — BR 10 2026 017581‑1

技術チームと一緒に導入環境を確認しましょう

検証したいコントローラーの機種、ファームウェア、ゲストネットワークの設計、接続の要件をお知らせください。

技術ブリーフィングを依頼ホームに戻る