Mise en conformité portail captif Wi-Fi à Montpellier

Une mise en conformité de portail captif ne consiste pas à acheter un nouveau portail. Elle consiste à vérifier ce que votre installation fait déjà, à corriger les écarts et à documenter les choix.

Cette mission ne remplace pas un avis juridique. Elle donne à votre établissement les moyens techniques et documentaires de respecter le cadre applicable.

Un portail captif peut afficher une belle page, accepter les conditions d'usage et laisser passer tout le monde. Vu de l'extérieur, il fonctionne. Vu de l'intérieur, il peut manquer les 4 éléments qui comptent.

Le premier est la journalisation. Un portail qui n'enregistre pas l'adresse IP, le port associé, l'identifiant du terminal et l'horodatage ne permet pas de retrouver l'origine d'une connexion. Il affiche une page, mais il ne conserve pas les bonnes données.

Le deuxième est la durée. Beaucoup d'installations appliquent un seul délai à tous les journaux, souvent 1 an "par simplicité". Or certaines données de sécurité sont plafonnées à 3 mois. D'autres données techniques se conservent 1 an. Un seul réglage global ne peut pas être juste dans les deux cas.

Le troisième est le consentement. Une case newsletter précochée, un accès conditionné à l'acceptation des offres, un pixel publicitaire chargé avant le clic : trois configurations fréquentes, trois problèmes différents.

Le quatrième est la séparation réseau. Un Wi-Fi invité qui partage le même réseau que la caisse, le logiciel de gestion ou les caméras expose l'exploitation. La CNIL demande de séparer le réseau public du réseau interne et d'utiliser un chiffrement à l'état de l'art.

Ces 4 points ne se voient pas sur la page de connexion. Ils se vérifient dans la configuration.

La mission couvre 6 blocs. Chaque bloc donne lieu à une constatation et, si nécessaire, à une correction.

1. Qualification et cartographie

Nous identifions qui fait quoi : l'établissement, le prestataire du portail, l'hébergeur des journaux, le fournisseur d'accès. Nous listons les données réellement traitées, leur emplacement et les personnes qui peuvent y accéder. Cette cartographie sert de base au registre des traitements et au contrat avec le prestataire.

2. Journalisation

Nous vérifions les champs enregistrés : adresse IP, port associé, identifiant du terminal, identifiant de l'utilisateur si un compte existe, date et heure. Nous contrôlons aussi l'horloge des équipements, le format des journaux et la possibilité d'extraire une période précise. Un journal incomplet ou mal horodaté ne répond pas à l'obligation.

3. Durées et purge

Nous appliquons une durée par catégorie : 5 ans pour l'identité civile si elle est collectée, 1 an pour les informations de compte et les données techniques, 3 mois maximum pour certaines données de sécurité. Nous vérifions que la purge est configurée, qu'elle s'exécute et qu'elle laisse une trace vérifiable.

4. Consentement et information

Nous contrôlons la page du portail : finalité, identité de l'organisme, durée, droits, lien vers la politique de confidentialité. Nous vérifions que l'accès au réseau ne dépend pas de l'acceptation de la prospection commerciale et que la case marketing est décochée par défaut. Nous regardons aussi les cookies et traceurs chargés avant le consentement.

5. Séparation réseau et sécurité

Nous vérifions la segmentation : VLAN invité distinct, règles de filtrage, accès bloqué vers la caisse, les postes, les serveurs et les caméras. Nous contrôlons le chiffrement, les comptes administrateurs, les mises à jour et la gestion des accès temporaires. Un portail conforme sur un réseau mélangé reste un problème de sécurité.

6. Documentation et procédure

Nous rédigeons les éléments qui manquent : tableau des journaux et des durées, procédure de purge, procédure de réponse aux demandes des autorités, liste des personnes habilitées, clauses à faire figurer dans le contrat du prestataire. La conformité doit être démontrable, pas seulement affirmée.

Le cadre tient en 5 repères. Les repères ci-dessous sont sourcés sur la fiche CNIL (CNIL) et sur l'article L.34-1 (Légifrance). Le décret n° 2026-920 prévoit un renouvellement de l’injonction de conservation de certaines données à compter du 21 octobre 2026. Son application et la ventilation des journaux sont à examiner selon votre situation.

Deux précisions qui évitent les erreurs fréquentes. Le contenu des messages et les sites visités ne font pas partie des données à conserver au titre de cette obligation. Et l'accès fourni par un employeur à ses salariés sort de ce régime spécifique, alors que le réseau proposé aux visiteurs reste concerné.

Le décret n° 2011-219 du 25 février 2011 est souvent cité (Légifrance). Il a été abrogé le 21 octobre 2021 et remplacé par le décret n° 2021-1362 (Légifrance). Les décrets de 2021 ont été contestés par des opérateurs, puis validés par le Conseil d'État dans une décision du 30 juin 2023 (https ://www.conseil-etat.fr/fr/arianeweb/CE/decision/2023-06-30/459724). Un prestataire qui cite encore le texte de 2011 comme s'il était en vigueur travaille sur une base ancienne.

La mission se déroule en 5 temps. Elle peut être menée sur site à Montpellier ou à distance, selon l'accès aux équipements.

1. Cadrage

Un échange de 30 minutes pour comprendre votre installation, votre activité, vos volumes de connexions et les documents existants. Nous demandons les accès nécessaires, le contrat du prestataire et la politique de confidentialité.

2. Audit

Nous relevons la configuration du contrôleur, du portail et des journaux. Nous testons le parcours sur plusieurs appareils : téléphone récent, téléphone ancien, ordinateur portable. Nous vérifions la séparation réseau et les règles de filtrage.

3. Cartographie et écarts

Nous produisons un tableau : donnée, finalité, emplacement, durée prévue, durée constatée, écart. Ce tableau est la pièce centrale du rapport. Il permet de prioriser les corrections et de documenter ce qui est déjà correct.

4. Corrections

Nous corrigeons ce qui peut l'être dans le périmètre technique : champs de journalisation, durées, purge, page d'information, case de consentement, règles de séparation. Les décisions qui relèvent de l'établissement ou de son conseil juridique sont listées séparément.

5. Tests et remise

Nous testons à nouveau le parcours, la purge et l'extraction d'une période. Nous remettons le rapport, les procédures et un plan de suivi. Un point de contrôle peut être prévu après la haute saison ou après un changement d'équipement.

Les livrables à prévoir sont définis au devis selon votre installation :

Ces éléments peuvent servir de base à votre avocat ou à votre DPO, si vous en avez désigné un.

Cette mission a des limites, et il vaut mieux les dire avant de commencer.

Le périmètre de l'intervention et les décisions à faire valider restent explicites.

Le prix dépend de 5 facteurs : le nombre de sites, le nombre d'équipements, le nombre de profils d'accès, l'état de la documentation existante et le niveau de correction attendu.

Une mission de mise en conformité se chiffre après le cadrage. Le devis précise le périmètre et les postes retenus : audit, corrections, documentation et tests. Aucun forfait standard n'est annoncé ici.

Les interventions hors forfait suivent le barème publié par WiFeel, consultable ici : /prix-installation-Wi-Fi-entreprise-montpellier. Comptez 95 € HT l'heure sur site en niveau 1, 110 € HT l'heure en niveau 2, 50 € HT le déplacement intra-muros et 0,92 € HT par kilomètre au-delà de 100 km. Ces tarifs sont des repères publiés, pas un devis.

L'audit de couverture et l'étude qui précède un devis sont gratuits et sans engagement. Pour une mission de conformité, le cadrage initial permet de vérifier si un audit complet est nécessaire ou si quelques corrections suffisent.

Sources officielles consultées le 20 octobre 2026 :

Un projet de portail captif à Montpellier ? WiFeel vérifie la couverture, la séparation des réseaux, la journalisation et les durées avant de proposer une correction. L'audit de couverture et le devis sont gratuits et sans engagement.

Prendre rendez-vous