Wi-Fi para prestadores de serviço é o acesso individual e temporário à rede da empresa concedido a pessoas externas, como técnicos, consultores, auditores e fornecedores, com um responsável interno, prazo definido e registro de cada conexão.
Na prática, ele substitui a senha compartilhada por credenciais rastreáveis, isoladas da rede interna e que podem ser revogadas a qualquer momento. Com a plataforma WiFeed, a TI escolhe o método pelo perfil do terceiro (voucher, aprovação de acesso, captive portal com cadastro ou Wi-Fi Pass) entre +15 métodos de autenticação e aplica a mesma política em todas as unidades, sobre os equipamentos que já tem.
Toda semana chegam técnicos de manutenção, consultores, auditores e equipes de obra que precisam de internet para trabalhar. Para a TI, cada um vira um pedido: liberar um MAC, gerar um voucher, passar a senha da rede. O problema aparece depois, quando ninguém sabe quem ainda tem acesso, em qual unidade e com qual equipamento.
Este guia organiza o acesso de terceiros por perfil: qual método usar para cada tipo de prestador, quando separar a rede, como encerrar o acesso no fim do contrato e como responder, com logs, quem estava conectado em determinado horário.
O que é Wi-Fi para prestadores de serviço na empresa
Wi-Fi para prestadores de serviço é a política que define como pessoas externas, sem vínculo empregatício, entram na rede da empresa: com qual credencial, por quanto tempo, em qual segmento e sob responsabilidade de quem. No contexto corporativo, isso significa tratar o terceiro como um perfil próprio, diferente do colaborador e do visitante, com regras que começam e terminam junto com o serviço contratado.
Três características separam o prestador do visitante comum:
- Permanência: o visitante fica horas; o prestador pode ficar dias, semanas ou meses.
- Necessidade: além da internet, alguns prestadores precisam alcançar um recurso específico, como o console de um equipamento ou um servidor de atualização.
- Responsabilidade: um gestor interno contratou o serviço e responde pelo acesso de quem está trabalhando.
Glossário rápido do acesso de terceiros
- Terceiro: pessoa ou empresa externa contratada para prestar um serviço, sem vínculo empregatício.
- Responsável interno (sponsor): colaborador que autoriza e responde pelo acesso do terceiro.
- Captive portal: página de autenticação exibida antes de a rede liberar a navegação.
- Voucher Wi-Fi: código individual e temporário que libera o acesso de um usuário.
- VLAN dinâmica: atribuição automática do segmento de rede de acordo com o perfil de quem se autentica.
- Revogação: encerramento de um acesso antes do fim previsto.
Por que senha compartilhada falha com terceiros e prestadores
Senha compartilhada é uma credencial única usada por várias pessoas para entrar na mesma rede. No contexto de terceiros, isso significa que o prestador vai embora no fim do contrato, mas o acesso continua válido até alguém trocar a senha de todos.
Os efeitos aparecem rápido em uma operação com várias unidades:
- Sem identidade: o log mostra um dispositivo, mas não a pessoa nem a empresa contratada.
- Sem prazo: a senha não sabe quando o serviço terminou.
- Sem isolamento: muitas vezes o terceiro cai no mesmo segmento dos colaboradores.
- Troca com efeito colateral: mudar a senha derruba todos que a usam, inclusive quem deveria continuar conectado.
- Fila de chamados: cada prestador novo vira um pedido manual para a TI.
A primeira reação costuma ser criar políticas de acesso por MAC address (o endereço físico da placa de rede) ou gerar um voucher para cada prestador. Isso melhora a identificação, mas, quando a TI gera e entrega cada código ou cadastra cada MAC à mão, troca um problema de segurança por um problema operacional. O voucher manual é uma das dores mais citadas por equipes de infraestrutura: o controle existe, mas depende de alguém disponível para criar, entregar e lembrar de encerrar.
A saída para a segurança de acesso de terceiros é parar de tratar esse acesso como exceção e encaixá-lo na mesma lógica do controle de acesso wi-fi corporativo: cada pessoa com a própria credencial, um perfil com regras definidas e um registro do que aconteceu.
Rede de terceiros e rede de visitantes devem ser separadas?
Rede de terceiros é o segmento reservado a prestadores de serviço, com regras próprias de acesso, banda e horário. No contexto corporativo, isso significa decidir se o prestador navega como um visitante qualquer ou se precisa de um caminho diferente, mas ainda isolado da rede interna.
Na maioria dos casos, a separação lógica resolve. O mesmo SSID (nome da rede Wi-Fi) atende visitantes e prestadores, e o perfil de cada um define a VLAN, a banda e o horário depois da autenticação. Assim a empresa evita multiplicar SSIDs, que poluem a lista de redes e consomem tempo de transmissão dos access points.
Um SSID próprio para terceiros faz sentido em três situações:
- O prestador precisa alcançar um recurso interno que o visitante não pode ver.
- O método de autenticação é diferente, como 802.1X para prestadores recorrentes e portal para visitantes.
- Há exigência de auditoria para que o tráfego de terceiros fique em um segmento dedicado.
| Critério | Visitante | Prestador de serviço |
|---|
| Permanência | Horas | Dias a meses |
| Quem autoriza | Recepção ou ninguém | Gestor que contratou o serviço |
| O que acessa | Só internet | Internet e, às vezes, um recurso específico |
| Credencial típica | Cadastro ou voucher | Voucher, aprovação ou credencial recorrente |
| Registro esperado | Quem se conectou | Quem, por qual empresa, com qual equipamento |
As regras do wi-fi para visitantes continuam valendo para quem fica pouco tempo. Separar também por tipo de equipamento é outra camada, tratada no controle de acesso por tipo de dispositivo.
Qual método de acesso usar para cada tipo de prestador?
Método de autenticação é a forma como a rede confirma quem está se conectando antes de liberar o acesso. No contexto de terceiros, isso significa escolher o método pelo perfil do prestador, e não usar o mesmo mecanismo para quem fica duas horas e para quem fica seis meses.
| Solução | Como funciona | Ideal para |
|---|
| Senha compartilhada | Uma senha única para todos na mesma rede | Nenhum cenário corporativo com terceiros |
| SSID separado | Rede própria para externos, isolada da interna | Separar tráfego, sem identificar a pessoa |
| Voucher | Código individual e temporário digitado no portal | Prestador com período conhecido |
| Aprovação de acesso | O prestador pede no portal e um responsável interno aprova por e-mail | Técnico pontual e visitas não agendadas |
| Captive portal com cadastro | Formulário com documento ou login gov.br antes de navegar | Auditores e consultores que precisam de registro nominal |
| Wi-Fi Pass | Perfil instalado uma vez; conexão automática nas visitas seguintes | Prestador recorrente, com contrato contínuo |
Matriz método × tipo de terceiro
| Perfil de terceiro | Permanência | Método recomendado | Segurança | Experiência | Esforço da TI |
|---|
| Técnico pontual | Horas | Aprovação de acesso | Pessoa identificada e aprovada | Pede e aguarda um clique | Nenhum: quem aprova é o gestor |
| Auditor ou consultor | Dias a semanas | Captive portal com cadastro + aprovação | Registro nominal com documento | Cadastro rápido no primeiro acesso | Baixo |
| Fornecedor em obra | Semanas, equipe rotativa | Voucher individual com validade do período | Um código por pessoa | Digita o código uma vez por sessão | Médio, se gerado à mão |
| Prestador recorrente | Meses | Wi-Fi Pass | Credencial com certificado, WPA2/3-Enterprise | Conecta sozinho, sem senha e sem portal | Baixo depois do cadastro |
A regra prática: quanto mais longa a permanência, mais vale investir uma vez no cadastro para eliminar a fricção dos acessos seguintes. Quanto mais curta, mais vale tirar a TI do fluxo e entregar a decisão a quem contratou. Em plantas fabris com equipes de obra, o desenho de rede segue as práticas de wi-fi para indústria.
Como liberar Wi-Fi para terceiros sem criar usuário no AD
Liberar acesso sem criar usuário no Active Directory (AD) é conceder credencial de rede a quem não tem conta corporativa, usando uma base de identidade própria para externos. No contexto corporativo, isso significa manter o AD só com colaboradores e tirar da TI a criação e a exclusão de contas temporárias.
O AD continua sendo a base do wi-fi para colaboradores, e contas temporárias nele tendem a sobreviver ao contrato. Ninguém lembra de desativar, a conta fica com acesso à rede interna e vira ponto cego em auditoria. Para terceiros, o caminho mais limpo é um fluxo com responsável interno.
Com a aprovação de acesso, o fluxo fica assim:
- O prestador se conecta à rede e pede acesso no captive portal.
- O sistema envia um e-mail com link para a lista de aprovadores configurada.
- O responsável aprova ou recusa com um clique, de qualquer lugar.
- Se aprovado, o Wi-Fi é liberado automaticamente com o perfil de terceiro (VLAN, banda e horário).
- O log registra quem pediu, quem aprovou e quando a conexão foi liberada.
O prazo vem do perfil: tempo de sessão e horário de acesso limitam a janela de uso do prestador. O ganho operacional está na troca de papéis: a TI define a política uma vez e quem contratou o serviço decide caso a caso. A fila de pedidos de liberação deixa de passar pelo suporte.
Como revogar acesso e saber quem estava conectado
Revogação de acesso é o encerramento de uma credencial de rede antes do fim previsto, por fim de contrato, incidente ou mudança de escopo. No contexto de terceiros, isso significa que a saída do prestador precisa encerrar também o acesso dele, sem trocar a senha de toda a rede.
Com credencial individual, a revogação atinge uma pessoa e mais ninguém. Na plataforma WiFeed, o administrador pode revogar pelo portal o acesso liberado de um dispositivo.
Para responder qual prestador estava conectado em determinado horário, e com qual equipamento, o log precisa associar três dados:
- Usuário: quem se autenticou (nome, documento ou e-mail de cadastro).
- MAC: o identificador do equipamento usado.
- IP: o endereço que o equipamento recebeu naquela sessão, para cruzar com registros do firewall.
Com isso, uma investigação segue três passos: filtrar o período e a unidade, identificar o usuário da sessão e cruzar MAC e IP com os eventos do firewall.
O marco civil da internet (Lei 12.965/2014) prevê a guarda de registros de conexão por provedores de conexão, e a LGPD (Lei 13.709/2018) trata os dados de cadastro do prestador como dados pessoais, com regras de finalidade e retenção. O enquadramento de cada empresa nessas obrigações exige análise jurídica. O que a TI controla é a qualidade do registro: sem usuário, MAC e IP associados, não há o que apresentar
Por que o NAC não cobre o dispositivo do prestador
NAC (Network Access Control) é a tecnologia que decide se um dispositivo entra na rede e checa a postura dele, como antivírus e atualizações, antes de liberar. No contexto de terceiros, isso significa um limite prático: o notebook do prestador pertence a outra empresa, não tem o agente do NAC e não oferece postura confiável a avaliar.
Para esse equipamento, o que resta é controlar o acesso: identificar a pessoa, isolar o segmento, limitar banda e horário e registrar cada sessão. A tabela mostra onde a plataforma WiFeed entra frente às 5 capacidades de um NAC:
| Capacidade de um NAC | WiFeed hoje |
|---|
| Autenticar usuário e dispositivo | Sim, com certificado digital e 802.1X |
| Decidir onde o dispositivo entra (rede e permissões) | Sim, por perfil e VLAN |
| Checar a postura do dispositivo antes de liberar | Não |
| Identificar sozinho o tipo de equipamento (profiling) | Não |
| Cobrir Wi-Fi e rede cabeada e reagir em tempo real | Em parte: hoje só Wi-Fi (cabeada no roadmap) e ainda não derruba ou isola quem já está conectado |
Quem já tem NAC mantém o NAC nos notebooks da empresa, e o WiFeed convive com ele, cobrindo o que fica de fora: terceiros, visitantes e o celular pessoal do colaborador (BYOD). Quem não tem NAC pode usar o WiFeed como primeiro passo: definir quem acessa e em qual rede, com certificado por dispositivo, sem o custo e a operação de um NAC.
Nos dois casos, o WiFeed cobre a camada de identidade de uma estratégia Zero Trust no Wi-Fi, sem avaliação de postura nem reavaliação contínua.
Como o WiFeed resolve o acesso de prestadores de serviço
A plataforma WiFeed é uma camada de autenticação e controle de acesso que roda sobre a rede Wi-Fi que a empresa já tem. No contexto de terceiros, isso significa aplicar os métodos e regras deste guia sem trocar access points, controladoras ou firewalls, com a mesma política em todas as unidades.
O que a TI configura uma vez (médias e grandes empresas multiunidade, com 20+ APs, em varejo, indústria, saúde, logística e educação):
- Métodos por perfil: +15 métodos de autenticação, como voucher, aprovação de acesso, captive portal corporativo com cadastro, 802.1X com RADIUS e Wi-Fi Pass.
- Políticas por perfil: VLAN dinâmica, limite de banda, horário de acesso, tempo de sessão, bloqueios e limite de dispositivos simultâneos.
- Rastro completo: logs que associam usuário, MAC e IP, com recursos nativos para LGPD e Marco Civil.
- Multifabricante: a mesma política roda em equipamentos de marcas diferentes, com +20 fabricantes de rede integrados. Os cenários compatíveis estão em como implementar o WiFeed.
- Implantação em dias: com RADIUS e PKI próprios, o time monta e mantém servidor, autoridade certificadora e integração com o diretório. No WiFeed, essa parte vem pronta em nuvem e a TI aponta o Wi-Fi para a plataforma, sem especialista dedicado.
Para o prestador recorrente, o Wi-Fi Pass do WiFeed, elimina a digitação de senha e o portal a cada visita. Ele usa credencial passpoint com WPA2/3-Enterprise e EAP-TLS ou EAP-TTLS.
👉Confira outros conteúdos relacionados:
Perguntas frequentes sobre Wi-Fi prestadores de serviços
1- Como dar acesso Wi-Fi temporário a prestador sem criar usuário no AD? Use uma base de identidade para externos e um fluxo com responsável interno. Com a aprovação de acesso, o prestador pede no captive portal, o gestor aprova por e-mail e a rede libera com o perfil de terceiro. O AD fica só com colaboradores.
2- Rede de visitantes e rede de terceiros precisam ser separadas? Não necessariamente em SSIDs diferentes. A separação por perfil e VLAN costuma bastar. Um SSID próprio para terceiros vale quando o prestador precisa de um recurso interno específico ou quando a auditoria exige segmento dedicado.
3- Como saber qual prestador estava conectado em determinado horário? O log precisa associar usuário, MAC e IP de cada sessão. Filtre o período e a unidade, identifique o usuário e cruze MAC e IP com os eventos do firewall. Com senha compartilhada, essa resposta não existe.
4- Voucher ou aprovação de acesso: qual dá menos trabalho para a TI? A aprovação de acesso, porque tira a TI do fluxo: quem contratou o serviço aprova com um clique. O voucher funciona bem para prestadores com período conhecido, mas gera trabalho quando cada código é criado e entregue manualmente.
5- Preciso de NAC para controlar o acesso de terceiros? Não necessariamente, porque o dispositivo do terceiro não é gerenciado e não há postura a checar. Onde há NAC, o WiFeed convive: o NAC fica nos notebooks da empresa e o WiFeed cobre terceiros, visitantes e BYOD. Onde não há, o WiFeed é o primeiro passo para definir quem acessa e em qual rede.
Acesso de terceiros com controle e sem fila na TI
Acesso de terceiros controlado é aquele em que cada prestador tem credencial própria, prazo, responsável interno e registro de cada conexão. No contexto corporativo, isso significa menos risco e menos pedidos de liberação na fila do suporte. Agende uma demonstração do WiFeed e veja o fluxo de terceiros funcionando sobre os equipamentos que a sua rede já tem.
