酒店WiFi实名认证不是酒店自己想出来的规矩，是法律规定的。但很多酒店在部署认证系统之前，其实并不清楚自己具体要满足哪些要求、做到什么程度算合规、做不到会有什么后果。下面把涉及的主要法规要求整理清楚。
酒店WiFi实名认证的法律依据主要来自三个层面。
第一层是公安部发布的《互联网安全保护技术措施规定》（俗称"82号令"），这是酒店落实WiFi实名认证的直接依据。规定要求，提供互联网上网服务的场所必须记录并留存用户上网信息，包括用户的账号、IP地址、上网时间、下线时间、访问的网址等。
第二层是《网络安全法》和《数据安全法》。这两部法律从更高层面要求网络运营者采取技术措施防止网络数据泄露、损毁，并且在有关部门依法开展监督检查时，必须予以配合。
第三层是各地的网监部门制定的实施细则。各地公安网监部门会根据本地实际情况，在国家标准基础上细化具体要求，比如日志留存时长、上报格式、对接方式等。各地要求可能有差异，酒店在部署前最好向当地网监部门确认具体执行标准。
这是最基本的要求：每个接入酒店WiFi的人，必须能追溯到真实身份。
什么叫"真实身份"？在酒店场景里，主要通过以下几种方式实现。
第一种是手机短信认证。住客输入手机号，系统发送随机验证码，住客凭验证码上网。这种方式能锁定手机号，而手机号是实名制的，理论上可以关联到具体的人。但在实际操作中，仅有手机号在法律效力上存在一定争议——手机号是实名制的证据不在酒店手里，而在运营商那里。
第二种是身份证认证。最直接的方式是住客刷身份证，系统读取身份信息后开通网络。这种方式证据链最完整，但流程相对繁琐，住客体验有影响，酒店前台工作量也会增加。
第三种是房号+密码认证。这种方式在有PMS系统的酒店最常见。住客入住时，PMS系统自动生成房号+密码（或房号+身份证后六位），住客用这个凭证连接WiFi。由于PMS里有住客的实名信息，这个凭证可以和真实身份关联。
无论用哪种方式，关键要求是：认证记录必须和住客的真实身份能对应上。如果用的是短信认证，日志里要有手机号、认证时间、房间号——手机号对应的实名信息通过运营商查询；如果是PMS对接，日志里要有房号、认证账号、上下线时间——房号对应的住客信息在PMS里有。
根据82号令及相关实施细则，酒店上网日志的留存时间不得少于6个月。注意，这里的"6个月"不是指6个月之后才能删除，而是说这6个月期间，日志必须完整、可查询、不被篡改。
日志要记录哪些内容？常见的包括：终端MAC地址、分配到的IP地址、上下线时间、访问的网址或应用、产生的数据流量、使用的认证账号。
存储方式上，要求加密存储，防止日志被恶意删除或篡改。很多酒店在部署认证系统时忽略了这个要求，只关注"能不能认证上网"，没有考虑"日志存哪里、存多久、安不安全"。等到网监检查时才发现日志不完整，或者日志格式不符合要求，这才是最麻烦的。
留了日志还不够，还需要能按要求上报。
很多城市的网监部门要求酒店定期上报上网日志，或者在需要时能实时查询。怎么对接、什么格式、谁来发起，各地要求不同。有些地方是酒店主动上报，有些是网监平台直接调取。
这一步经常被忽视。很多酒店觉得部署了认证系统、留了日志就合规了，但到实际验收时才发现自己的日志格式和网监要求的标准格式对不上，无法完成对接。
解决这个问题有两个思路。第一是在选型认证系统时，就向厂家确认系统是否支持对接当地网监平台，接口标准是什么。第二是在部署完成后，主动联系当地网监部门，确认日志格式和上报方式是否符合要求，尽早发现差距。
在行业里，有几种看起来"有认证"但实际上不完全合规的情况需要注意。
第一种是只有密码没有身份信息。比如酒店WiFi只设置了密码，进门问前台要密码就能上网，但没有任何记录显示谁在什么时间用了这个密码。这种方式连最基本的身份关联都做不到，显然不合规。
第二种是认证了但日志不存或留存不足6个月。系统能弹出认证页面，住客也完成了认证，但日志要么没存，要么存了不到6个月就被自动清理了。这在技术上是"认证了"，但法律上不满足留存要求。
第三种是日志存了但格式不符合上报标准。能存日志不代表能对接网监。如果日志字段不完整（比如缺少MAC地址或IP地址），或者日志格式无法被网监平台解析，在实际检查中仍然可能判定为不合规。
酒店WiFi实名认证的合规要求，说到底是三条链：认证链（日志要能证明谁上了网）、留存链（日志要存够6个月且不被篡改）、上报链（日志要能按要求报给网监）。
部署认证系统只是第一步。后续还需要定期检查日志是否正常、存储是否充足、对接是否有效。建议酒店每年至少做一次合规自检，确保各个环节没有断链。
English