diff --git a/modules/meraki-site/main.tf b/modules/meraki-site/main.tf
index 1195b1f..1e4724e 100755
--- a/modules/meraki-site/main.tf
+++ b/modules/meraki-site/main.tf
@@ -160,7 +160,8 @@ resource "meraki_wireless_ssid" "ssids" {
   name                = each.value.name
   enabled             = each.value.enabled
   auth_mode           = each.value.auth_mode
-  psk                 = each.value.psk
+  # Si el SSID no tiene psk en el tfvars, usa var.wifi_password_psk (TF_VAR_wifi_password_psk)
+  psk                 = each.value.psk != null ? each.value.psk : var.wifi_password_psk
   # wpa_encryption_mode solo es compatible con auth_mode != "open"
   # Para OWE (open + WPA3) la API rechaza el campo; la encriptación Enhanced Open
   # se negocia a nivel de beacon y no se expone como atributo de la API Meraki.
diff --git a/sites/BCN01-LAB/ssids.auto.tfvars b/sites/BCN01-LAB/ssids.auto.tfvars
index f4989f3..d84a38b 100644
--- a/sites/BCN01-LAB/ssids.auto.tfvars
+++ b/sites/BCN01-LAB/ssids.auto.tfvars
@@ -27,7 +27,7 @@ wireless_ssids = [
     enabled             = true
     auth_mode           = "psk"            # Modo para contraseña compartida
     wpa_encryption_mode = "WPA2 only"     # Lo que pediste para compatibilidad
-    psk                 = var.wifi_password_psk # Esta variable vendrá de GitHub Secrets
+    # psk se inyecta via TF_VAR_wifi_password_psk (GitHub secret WIFI_PASSWORD_PSK)
     ip_assignment_mode  = "Bridge mode"
     use_vlan_tagging    = true
     default_vlan_id     = 101