Wi-Fi para colaboradores é a rede interna em que cada funcionário se conecta com a própria identidade corporativa, e não com uma senha compartilhada. O modelo mais usado é o 802.1X, em que um servidor RADIUS valida o login no Active Directory, LDAP ou Entra ID e aplica a política do perfil. Com a plataforma WiFeed, essa autenticação roda sobre os access points que a empresa já tem, com registro de usuário, MAC e IP em cada acesso e a mesma política em unidades de fabricantes diferentes.
Em muitas empresas, a rede dos funcionários ainda funciona com uma senha única, trocada de tempos em tempos e repassada de pessoa para pessoa. Ela conecta todo mundo, mas não identifica ninguém. Quando alguém é desligado, a senha continua salva no celular dele.
O problema é operacional e de segurança ao mesmo tempo. A TI gasta horas trocando senhas, liberando MAC e atendendo chamados, e ainda assim não consegue responder à pergunta mais simples de uma auditoria: quem estava conectado naquele horário? Este guia mostra como trocar a senha compartilhada por autenticação individual, integrada ao diretório que a empresa já usa.
O que é Wi-Fi para colaboradores e onde a senha falha
Wi-Fi para colaboradores é a rede sem fio reservada aos funcionários, com acesso a sistemas internos e autenticação por usuário. No contexto corporativo, isso significa que cada conexão precisa estar ligada a uma pessoa, a uma política e a um registro, e não a uma senha que circula pela empresa.
A senha compartilhada, tecnicamente chamada de PSK (Pre-Shared Key, chave pré-compartilhada), parece barata porque não exige servidor nem integração. O custo aparece depois, em forma de trabalho manual e risco:
- Troca periódica: cada mudança de senha exige reconfigurar dezenas ou centenas de dispositivos e gera uma onda de chamados.
- Desligamentos: sem troca imediata, o ex-colaborador continua com acesso enquanto estiver no alcance do sinal.
- Vazamento silencioso: a senha vai parar no celular de visitantes, prestadores e familiares, sem que a TI saiba.
- Logs inúteis: o registro mostra apenas um MAC e um IP, sem nome. Investigar um incidente vira trabalho de detetive.
- Política única: estagiário, gerente e dispositivo do caixa recebem o mesmo nível de acesso.
O caminho para sair desse modelo é a autenticação wi-fi corporativa individual, em que a rede pergunta “quem é você?” antes de liberar o acesso. Esse é o primeiro passo do controle de acesso wi-fi corporativo: saber quem entra, com qual perfil, e conseguir tirar essa pessoa da rede quando necessário.
O 802.1X é o padrão IEEE de controle de acesso por porta, que só libera a rede depois que o usuário prova sua identidade. No contexto do Wi-Fi corporativo, isso significa que o colaborador entra com o mesmo usuário e senha que já usa no computador, e o acesso nasce e morre junto com a conta dele no diretório.
Três peças participam da autenticação:
- Suplicante: o dispositivo do colaborador, que envia as credenciais.
- Autenticador: o access point ou a controladora, que repassa o pedido sem conhecer a senha.
- Servidor de autenticação: o servidor RADIUS, que consulta o diretório e devolve “aceito” ou “negado”, junto com a política do perfil.
- Dispositivo do colaborador: o celular ou notebook se conecta ao SSID corporativo, configurado em WPA2-Enterprise ou WPA3-Enterprise, e envia a credencial corporativa.
- Access point: o access point, ou a controladora, encaminha o pedido ao servidor RADIUS. Ele não vê a senha, que viaja protegida em um túnel até o RADIUS.
- Servidor RADIUS: o RADIUS, na plataforma WiFeed, consulta o Active Directory ou o LDAP pela conexão LDAPS. Ele não mantém uma base paralela de usuários.
- Diretório: o AD ou LDAP responde se a conta está ativa e a qual grupo pertence, por exemplo “Colaboradores”.
- Liberação: com a conta ativa e o grupo correto, o RADIUS devolve Access-Accept e aplica a política daquele perfil.
- Registro: a conexão é gravada no log de acesso com usuário, MAC, IP e horário.
Se a conta estiver desativada: no passo 4 o diretório informa que a conta não está ativa, o RADIUS devolve Access-Reject e o acesso é negado. Por isso, desativar o colaborador no diretório já bloqueia a próxima autenticação no Wi-Fi.
O ponto central é o passo 3: o RADIUS não mantém uma base paralela de usuários, ele pergunta ao diretório a cada autenticação. Se a conta está ativa e pertence ao grupo certo, o acesso é liberado com a política daquele perfil.
O método EAP (Extensible Authentication Protocol) define como a credencial viaja. O PEAP-MSCHAPv2 usa usuário e senha do domínio e é o mais comum em ambientes com AD. O EAP-TLS usa certificado digital em vez de senha e costuma ser adotado em dispositivos gerenciados por MDM. Um efeito colateral conhecido do modelo com senha: quando a senha do AD expira, o Wi-Fi salvo no dispositivo para de autenticar até o usuário atualizá-la.
O Entra ID é o serviço de identidade em nuvem da Microsoft, antigo Azure AD, que fala protocolos web (SAML, OAuth e OpenID Connect) e não RADIUS. No contexto do Wi-Fi, isso significa que o access point não consegue consultar o Entra ID diretamente: sempre existe uma camada RADIUS no meio.
Em ambientes 100% nuvem, há um segundo obstáculo. O PEAP-MSCHAPv2 depende do hash de senha no formato NT, que contas criadas só no Entra ID não disponibilizam. Por isso, o mercado costuma seguir um destes caminhos:
- Manter um AD sincronizado (híbrido) e autenticar o 802.1X contra ele.
- Entra Domain Services com NPS, um AD gerenciado pela Microsoft, com custo próprio, mais um servidor NPS (Network Policy Server, o RADIUS do Windows).
- RADIUS na nuvem com EAP-TLS, usando certificados distribuídos pelo Intune ou outro MDM.
- Autenticação por fluxo web (SAML), em que o colaborador faz login com a conta corporativa em um portal.
A plataforma WiFeed tem integração nativa com Entra ID e SAML, e o radius na nuvem tira da TI a manutenção de servidores locais.
Integrações nativas por cenário de identidade
| Cenário de identidade | Integração no WiFeed | Como o colaborador se autentica | Ponto de atenção |
|---|
| AD on-premises | Active Directory | 802.1X com RADIUS direto no AD | Expiração de senha do AD afeta o Wi-Fi salvo |
| Diretório LDAP | LDAP / LDAPS | 802.1X com credencial do diretório | Prefira LDAPS, que criptografa a consulta |
| Híbrido AD + Entra ID | Active Directory e Entra ID | 802.1X contra o AD sincronizado | Grupos precisam estar alinhados nos dois lados |
| Entra ID apenas (nuvem) | Entra ID / SAML | Fluxo web com conta corporativa | 802.1X sem NPS |
| Google Workspace | Google Workspace | Login com a conta corporativa Google | Fluxo exato |
| Outro IdP (Okta e similares) | SAML | Login único (SSO) com a conta corporativa | Exige IdP compatível com SAML 2.0 |
Como revogar o Wi-Fi do colaborador desligado no mesmo dia
Revogação de acesso é a retirada da permissão de um usuário para se conectar à rede. No contexto do Wi-Fi corporativo, isso significa que o colaborador desligado deixa de autenticar assim que a conta dele é desativada, sem que a TI precise trocar a senha de todos.
Com senha compartilhada, revogar um acesso significa revogar o de todos. Com 802.1X integrado ao diretório, a revogação acontece na origem: o RH comunica o desligamento, a TI desativa a conta no AD, LDAP ou Entra ID, e a próxima tentativa de autenticação é negada.
Existe um detalhe que costuma passar despercebido: a sessão que já está ativa. O 802.1X valida a identidade no momento da conexão. Se o dispositivo continua conectado, ele pode permanecer na rede até a próxima reautenticação. Para fechar essa janela no mesmo dia:
- Desative a conta no diretório assim que o desligamento for formalizado.
- Encerre a sessão ativa na controladora ou defina um tempo de reautenticação (session timeout) adequado ao seu risco.
- Confira o log para confirmar que não houve nova conexão com aquele usuário.
- Revise dispositivos corporativos que estavam com o colaborador, como notebook e coletor, antes de redistribuí-los.
Na plataforma WiFeed, como a autenticação consulta o diretório, desativar a conta já bloqueia novas conexões daquele usuário. A automação desse ciclo, sem ação manual na plataforma, depende de configuração.
Notebook corporativo e celular pessoal: mesma política de rede?
BYOD (Bring Your Own Device) é a prática de permitir que o colaborador use dispositivos pessoais no trabalho. No contexto da rede interna, isso significa que notebook da empresa e celular do funcionário pertencem à mesma pessoa, mas não merecem necessariamente o mesmo nível de acesso.
O notebook corporativo é gerenciado: a TI controla sistema, antivírus e atualizações. O celular pessoal não. Por isso, a política certa é por perfil e por tipo de dispositivo, e não uma regra única. Em empresas que exigem verificação de postura (checar se o equipamento está atualizado e protegido antes de liberar), essa verificação é papel do NAC.
Matriz por dispositivo: quem cuida de quê
| Dispositivo | Exige postura? | Quem cuida | Método sugerido | Esforço da TI |
|---|
| Notebook corporativo gerenciado | Sim | NAC | 802.1X com certificado (EAP-TLS) via MDM | Médio |
| Notebook corporativo | Não | WiFeed | 802.1X com RADIUS no AD/LDAP | Baixo |
| Celular pessoal (BYOD) | Não | WiFeed | 802.1X com credencial corporativa ou Wi-Fi Pass | Baixo |
| Dispositivo operacional (coletor, tablet de loja) | Não | WiFeed | Método conforme o equipamento | Baixo a médio |
O limite precisa ficar claro: o WiFeed não é um NAC completo e não avalia postura do dispositivo. Onde há essa exigência, os dois convivem. O NAC cuida do notebook gerenciado, e o WiFeed cobre o BYOD, os dispositivos operacionais e os demais perfis, sem trocar o que já funciona.
Para o celular pessoal, chegou o Wi-Fi Pass do WiFeed, tecnologia que conecta o dispositivo de forma automática e individual, sem senha digitada a cada acesso.
Como aplicar a mesma política em filiais de fabricantes diferentes
Autenticação multifabricante é a capacidade de aplicar a mesma regra de acesso em redes montadas com equipamentos de marcas diferentes. No contexto de empresas com várias unidades, isso significa que a loja com access points de um fabricante e o centro de distribuição com outro seguem a mesma política de colaboradores.
O cenário é comum em varejo, saúde e indústria: cada expansão, aquisição ou licitação trouxe um fabricante diferente. Sem uma camada central, a TI acaba mantendo uma configuração por marca, com servidores RADIUS e regras duplicadas, e os desvios entre unidades só aparecem quando algo dá errado.
O modelo que resolve é separar a infraestrutura da política:
- Infraestrutura local: access points, controladoras e firewalls continuam como estão, apontando o RADIUS para a mesma plataforma.
- Política central: grupos do diretório, perfis e métodos de autenticação definidos uma única vez.
- Visão única: logs de todas as unidades no mesmo lugar, com o mesmo formato.
A plataforma WiFeed atua sobre a rede homologada que o cliente já tem, sem substituir access points, controladoras ou firewalls. A mesma política roda em equipamentos de marcas diferentes, o que permite padronizar o Wi-Fi para colaboradores em todas as filiais. A lista de equipamentos compatíveis está na página de homologações.
👉Confira outros conteúdos relacionados ao tema:
Como saber quem acessou a rede: logs por usuário, MAC e IP
Log de acesso é o registro de cada conexão à rede, com identificação, horário e endereço. No contexto do Wi-Fi para colaboradores, isso significa conseguir responder, meses depois, qual pessoa usava determinado IP em determinado horário.
Com senha compartilhada, o log mostra só endereços técnicos. O MAC (endereço físico da placa de rede) muda com frequência em celulares que usam endereço aleatório, e o IP muda a cada conexão. Sem o nome do usuário associado, a trilha se perde.
Com autenticação individual, cada registro associa três dados:
- Usuário: a identidade que autenticou, vinda do diretório.
- MAC: o dispositivo usado naquela sessão.
- IP: o endereço atribuído, que é o que aparece em sistemas e alertas de segurança.
Sobre o aspecto legal, o Marco Civil da Internet trata da guarda de registros de conexão, e a LGPD trata logs com identificação de pessoa como dado pessoal, que exige finalidade, base legal e prazo de retenção definidos. Se e como cada obrigação se aplica à rede interna de uma empresa depende do caso concreto e exige análise jurídica.
A plataforma WiFeed gera logs que associam usuário, MAC e IP, com recursos nativos para apoiar requisitos de LGPD e Marco Civil.
Como o WiFeed resolve o Wi-Fi para colaboradores
O WiFeed é uma camada de software de autenticação e controle de acesso que roda sobre a infraestrutura Wi-Fi homologada da empresa. No contexto da rede interna, isso significa trocar a senha compartilhada por acesso individual, integrado ao diretório, sem trocar access points (para empresas com 20 ou mais APs e 200 ou mais colaboradores, especialmente em operações multiunidade).
Na prática, a plataforma WiFeed entrega:
- Identidade corporativa no Wi-Fi: integrações nativas com Active Directory, LDAP/LDAPS, Entra ID, SAML e Google Workspace.
- Mais de 15 métodos de autenticação, segundo o WiFeed, incluindo 802.1X com RADIUS direto no AD/LDAP, Captive Portal e Wi-Fi Pass.
- Política por perfil: colaborador, BYOD e dispositivo operacional com regras distintas, na mesma plataforma.
- Rastreabilidade: cada acesso registrado com usuário, MAC e IP.
- Multiunidade e multifabricante: a mesma política em equipamentos de marcas diferentes.
- Convivência com NAC: o NAC mantém a postura dos notebooks gerenciados, e o WiFeed cobre o restante.
Segundo dados internos do WiFeed, a automação do controle de acesso reduz em até 87% o tempo de gestão da TI. Na base do WiFeed, com mais de 15 mil locais e mais de 80 mil APs, já são mais de 35 milhões de usuários autenticados, e operações com grande volume de colaboradores, como Grupo BRF e Unimed, estão entre os clientes da plataforma.
Perguntas frequentes sobre Wi-Fi para colaboradores
1- Como autenticar colaboradores no Wi-Fi sem senha compartilhada? Use 802.1X com um servidor RADIUS integrado ao diretório da empresa (AD, LDAP ou Entra ID). Cada colaborador entra com a própria credencial corporativa, recebe a política do seu perfil e deixa um registro individual de acesso.
2- Preciso trocar meus access points para usar 802.1X? Na maioria dos casos, não. Access points corporativos já suportam WPA2-Enterprise ou WPA3-Enterprise. A plataforma WiFeed funciona sobre a infraestrutura homologada existente, sem substituir access points, controladoras ou firewalls.
3- O WiFeed substitui o NAC na rede de colaboradores? Não. O WiFeed não avalia postura do dispositivo. Onde essa exigência existe, ele convive com o NAC: o NAC cuida dos notebooks gerenciados, e o WiFeed cobre BYOD, dispositivos operacionais e outros perfis.
4- O celular pessoal do colaborador pode acessar a rede interna? Pode, desde que com autenticação individual e uma política própria de BYOD, separada da usada nos equipamentos corporativos. O nível de acesso a sistemas internos deve ser definido pela TI e pela Segurança da Informação.
Próximo passo: autenticação individual na rede da sua empresa
Se a sua rede interna ainda depende de senha compartilhada, liberação manual de MAC ou regras diferentes em cada unidade, vale ver como a autenticação individual funciona sobre a infraestrutura que você já tem. Agende uma demonstração do WiFeed.
