diff --git a/modules/meraki-site/main.tf b/modules/meraki-site/main.tf
index a2da0ab..be04d4f 100755
--- a/modules/meraki-site/main.tf
+++ b/modules/meraki-site/main.tf
@@ -160,12 +160,10 @@ resource "meraki_wireless_ssid" "ssids" {
   name                = each.value.name
   enabled             = each.value.enabled
   auth_mode           = each.value.auth_mode
-  # Si el SSID no tiene psk en el tfvars, usa var.wifi_password_psk (TF_VAR_wifi_password_psk)
-  psk                 = each.value.psk != null ? each.value.psk : var.wifi_password_psk
-  # wpa_encryption_mode solo es compatible con auth_mode != "open"
-  # Para OWE (open + WPA3) la API rechaza el campo; la encriptación Enhanced Open
-  # se negocia a nivel de beacon y no se expone como atributo de la API Meraki.
-  wpa_encryption_mode = each.value.auth_mode != "open" ? each.value.wpa_encryption_mode : null
+  # PSK solo se envía para SSIDs con auth_mode "psk"; para open/open-enhanced se deja null
+  psk                 = each.value.auth_mode == "psk" ? (each.value.psk != null ? each.value.psk : var.wifi_password_psk) : null
+  # wpa_encryption_mode solo aplica a SSIDs con PSK; open y open-enhanced (OWE) no lo usan
+  wpa_encryption_mode = each.value.auth_mode == "psk" ? each.value.wpa_encryption_mode : null
   encryption_mode     = each.value.encryption_mode
   splash_page         = each.value.splash_page
   ip_assignment_mode  = each.value.ip_assignment_mode