Wi-Fi Enhanced Open, WPA3 a PMF – šifrování veřejných sítí bez hesla a co z toho máte vy

Veřejná Wi-Fi bez hesla v kavárně, hotelu či na letišti je pohodlná, ale tradičně také zcela nešifrovaná: kdokoli v dosahu může provoz odposlouchávat. Zabezpečení Wi-Fi se ale vyvíjí. Organizace Wi-Fi Alliance, která stojí za certifikací Wi-Fi zařízení, popisuje WPA3, Wi-Fi Enhanced Open a ochranu řídicích rámců (PMF). Tento článek vysvětluje, co tyto pojmy znamenají, co z nich plyne pro vás jako uživatele a co mohou udělat majitelé malých sítí.

Informace vycházejí ze stránky Wi-Fi Alliance – Security (v angličtině; stav k 13. 11. 2026). Stránka nezmiňuje srovnání s WPA2, technické názvy SAE či OWE ani podrobnosti o odolnosti proti útokům na hesla; ty zde proto nepopisujeme. Podrobnosti o certifikačních požadavcích jsou dostupné jen členům organizace. Nejde o odborné poradenství.

Související články: WPA3 vs WPA2, Rizika veřejné Wi-Fi sítě a Doporučené nastavení Wi-Fi routeru podle Applu.

Aktualizováno: listopad 2026.

WPA3: nový standard

Podle Wi-Fi Alliance je WPA3 povinné pro zařízení s certifikací Wi-Fi CERTIFIED. Popisuje ho jako standard, který zlepšuje autentizaci, zvyšuje kryptografickou sílu pro velmi citlivá data a zachovává odolnost kritických sítí. Sítě WPA3:

• používají nejnovější bezpečnostní protokoly,
• blokují zastaralé protokoly,
• vyžadují Protected Management Frames (PMF).

WPA3-Personal a WPA3-Enterprise

• WPA3-Personal: uživatelé mají zvýšenou ochranu proti pokusům o hádání hesla. To je relevantní pro domácnosti a malé kanceláře, které používají sdílené heslo.
• WPA3-Enterprise: nabízí vyšší úroveň bezpečnostních protokolů pro sítě s citlivými daty (firmy, instituce).

Pro běžné domácnosti tedy platí jednoduché pravidlo: pokud router i zařízení WPA3 podporují, zvolte WPA3 Personal; jinak přechodný režim WPA2/WPA3; viz WPA3 vs WPA2.

Praktický postup využití moderního zabezpečení Wi-Fi – vlastní infografika

Wi-Fi Enhanced Open: šifrování bez hesla

Podle Wi-Fi Alliance Wi-Fi Enhanced Open poskytuje šifrování dat bez ověřování, na rozdíl od tradičních otevřených sítí, které nemají žádnou ochranu. Hlavní přínosy podle stránky:

• není nutné udržovat, sdílet ani spravovat veřejná hesla,
• funguje s tradičními sítěmi, včetně sítí s přihlašovací stránkou (captive portal).

Co to znamená v praxi: kavárna či hotel může nabídnout Wi-Fi bez hesla a přesto zašifrovat spojení každého zákazníka. Zákazníci si navzájem nemohou odposlouchávat provoz tak snadno jako u klasické otevřené sítě.

Co Enhanced Open nezaručí

Je důležité nepřehánět: šifrování bez ověření neznamená, že víte, že jste připojeni ke správné síti. Útočník může založit falešnou síť se stejným názvem (evil twin); viz Falešná Wi-Fi. Šifrování také nic neříká o důvěryhodnosti provozovatele sítě ani o tom, co s vašimi daty dělá. Stránka Wi-Fi Alliance tyto otázky neřeší, proto vás Enhanced Open nenahrazuje: dál platí HTTPS, VPN pro citlivé úkony a opatrnost.

Ochrana řídicích rámců (PMF)

Protected Management Frames (PMF) podle Wi-Fi Alliance:

• chrání unicastové řídicí rámce před odposlechem a padělání,
• chrání multicastové řídicí rámce před padělání.

Řídicí rámce jsou „správní zprávy“ Wi-Fi: připojení, odpojení, vyjednávání. Bez ochrany je může útočník padělat a například vás vyřadit ze sítě (odpojovací útok) nebo vás přesměrovat. PMF je povinné u všech nových certifikovaných zařízení a u WPA3. Pro uživatele jde o neviditelnou ochranu, která se projeví tím, že určité útoky přestanou fungovat.

Co z toho plyne pro uživatele

• Při výběru routeru či zařízení hledejte podporu WPA3 a certifikaci Wi-Fi CERTIFIED.
• U nové sítě zvolte WPA3 Personal nebo přechodný režim.
• Na veřejných sítích nespoléhejte jen na šifrování: pokud síť nabízí Enhanced Open, je to lepší než nic, ale citlivé úkony dělejte přes mobilní data či VPN.
• Aktualizujte firmware routeru, aby nové funkce byly dostupné; viz Aktualizace firmwaru routeru.
• Starší zařízení mohou novou ochranu nepodporovat; zvažte oddělenou síť; viz Hostovská Wi-Fi a oddělení IoT.

Co z toho plyne pro majitele malé sítě

Pokud provozujete malou kavárnu, ubytování či kancelář s hostující Wi-Fi:

1. Nejdřív zjistěte, co váš přístupový bod umí: WPA3, Enhanced Open, PMF.
2. Pro zaměstnance používejte oddělenou síť s WPA3-Personal či Enterprise (podle možností).
3. Pro hosty zvažte hostovskou síť, případně s Enhanced Open, a oddělte ji od interní sítě.
4. Heslo hostovské sítě (je-li použito) pravidelně měňte.
5. Aktualizujte firmware a vypněte zastaralé režimy.
6. Informujte hosty o názvu sítě, aby se nepřipojovali k falešným.

Co je „certifikace Wi-Fi“

Wi-Fi Alliance uděluje zařízením certifikaci Wi-Fi CERTIFIED, která potvrzuje, že splňují určité požadavky na kompatibilitu a zabezpečení. Podle stránky je WPA3 pro tuto certifikaci povinné a PMF je požadováno u všech nových certifikovaných zařízení. Podrobné bezpečnostní požadavky jsou dostupné jen členům. Pro spotřebitele to znamená: certifikovaná zařízení by měla podporovat moderní zabezpečení, ale ověřte konkrétní model v jeho specifikaci.

Praktické tipy

1. Při koupi routeru vyžadujte WPA3 a PMF.
2. Doma používejte WPA3 či přechodný režim a silné heslo; viz Heslo z vět.
3. Na veřejných sítích předpokládejte, že provoz nemusí být bezpečný, a používejte HTTPS či VPN.
4. Ověřte název sítě u personálu.
5. Vypněte automatické připojování k veřejným sítím.
6. Aktualizujte zařízení.
7. Při podezření na odpojování či falešnou síť přejděte na mobilní data.

Další informace o bezpečném chování: E-Bezpečí, Stop online a Policie ČR.

Jak poznáte, že se síť opravdu zabezpečuje

Běžný uživatel zabezpečení sítě na první pohled nepozná: v seznamu sítí uvidíte zámek u sítí s heslem a u otevřených sítí jeho absenci. Zařízení často zobrazí upozornění na slabé zabezpečení nebo na to, že síť není soukromá. Tato upozornění neignorujte a nepřipojujte se k sítím, které je zobrazují, pokud to není nezbytné. U sítě s Enhanced Open může zařízení zobrazit jiné označení než u klasické otevřené sítě, ale rozdíl nemusí být zřejmý; spoléhejte proto spíše na pravidlo „citlivé úkony ne přes veřejnou Wi-Fi“.

Co dělat při odpojování od sítě

Pokud vás zařízení opakovaně odpojuje od veřejné sítě bez zřejmého důvodu, může jít o technickou potíž, ale také o pokus o rušení či padělání řídicích rámců. Ochrana PMF takové útoky ztěžuje, ale ne u všech zařízení a sítí je dostupná. Při podezření přejděte na mobilní data, nepokoušejte se síť „opravit“ zadáváním hesel na neznámých stránkách a o problému informujte provozovatele. Doma pak zkontrolujte, zda router používá aktuální firmware a moderní zabezpečení; viz Doporučené nastavení Wi-Fi routeru podle Applu.

Proč se vyplatí aktualizovat zařízení

Moderní zabezpečení Wi-Fi vyžaduje podporu na obou stranách: v routeru i v zařízení. Starší zařízení často novější režimy nepodporují, takže zůstanou na slabších. Pravidelné aktualizace systému a firmwaru mohou přinést podporu novějších funkcí a opravit chyby. Při nákupu nového zařízení se vyplatí zeptat se na podporu WPA3. Dlouhodobě je výhodné mít jednotnou, moderní domácí síť; starší zařízení, která nelze aktualizovat, oddělte nebo vyřaďte.

Praktický příklad (smyšlený)

Majitel kavárny Martin nahradí starý router novým s podporou WPA3 a Enhanced Open. Pro zaměstnance vytvoří interní síť s heslem, pro hosty hostovskou síť bez hesla, ale zašifrovanou, oddělenou od interní. Na stolech umístí název sítě, aby se hosté nepřipojovali k falešné. Příklad je smyšlený.

Kontrolní seznam – vlastní infografika

Moderní zabezpečení Wi-Fi v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn – vlastní infografika

Související články

V kategorii Síť, Wi-Fi a připojení najdete také Mobilní hotspot a UPnP a otevřené porty.

Shrnutí

Podle Wi-Fi Alliance je WPA3 povinné pro certifikovaná zařízení, WPA3-Personal chrání před hádáním hesla, Enhanced Open šifruje otevřené sítě bez hesla a PMF chrání řídicí rámce před odposlechem a padělání. Šifrování ale neověřuje, že jste u správné sítě, proto na veřejných sítích nadále používejte HTTPS či VPN a ověřujte název sítě. U domácí sítě zvolte WPA3 či přechodný režim.

Často kladené otázky k Wi-Fi Enhanced Open, WPA3 a PMF