Wdrożenie KSeF w firmie
Sprawdź zakres wdrożenia, terminy i połączenie z obecnym obiegiem faktur.
Poradnik dla firmy
Certyfikat KSeF i token
Token KSeF pozwala programowi zalogować się z wybranymi uprawnieniami. Certyfikat KSeF potwierdza tożsamość, a jego typ decyduje o zastosowaniu. Poniżej sprawdzisz, który wybrać, gdzie złożyć wniosek i co skontrolować, gdy program odmawia dostępu do faktur.
Aktualizacja:
Dwa typy certyfikatów KSeF
Certyfikat KSeF to elektroniczne poświadczenie tożsamości osoby albo podmiotu. Sam certyfikat nie nadaje prawa do wystawiania ani pobierania faktur. KSeF sprawdza te uprawnienia osobno. Certyfikat nie jest przypisany do jednego kontekstu firmy, więc można go używać dla różnych podmiotów, jeżeli jego właściciel ma odpowiednie uprawnienia.
| Rodzaj | Do czego służy | Czego nie zastępuje |
|---|---|---|
| Typ 1, Authentication | Uwierzytelnianie, czyli potwierdzenie tożsamości podczas logowania do KSeF. | Nie nadaje uprawnień i nie zastępuje certyfikatu offline. |
| Typ 2, Offline | Potwierdzenie wystawcy na drugim kodzie QR faktury przekazywanej poza KSeF w odpowiednim trybie offline. | Nie pozwala zalogować się do KSeF. |
Jeden certyfikat ma jeden typ. Jeśli program potrzebuje obu funkcji, trzeba uzyskać dwa certyfikaty. Źródła: FAQ Ministerstwa Finansów, sekcja o certyfikatach i dokumentacja certyfikatów KSeF.
Token czy certyfikat: co wybrać
Token KSeF to poufny ciąg znaków, który program wykorzystuje do uwierzytelnienia. Przy tworzeniu tokena wybierasz zakres uprawnień, na przykład odczyt faktur albo ich wystawianie. Zmiana zakresu wymaga wygenerowania nowego tokena.
Wybór zależy od możliwości programu i sposobu pracy. Jeśli program obsługuje token i potrzebujesz zwykłej wysyłki lub pobierania, token może wystarczyć. Jeśli potrzebujesz drugiego kodu QR dla faktur offline, potrzebny jest certyfikat typu 2 niezależnie od sposobu logowania programu.
| Pytanie | Token KSeF 2.0 | Certyfikat KSeF |
|---|---|---|
| Jak działa logowanie? | Program korzysta z poufnego tokena z wybranym zakresem uprawnień. | Program potwierdza tożsamość certyfikatem typu 1 oraz odpowiadającym mu kluczem prywatnym. |
| Jak długo działa? | MF utrzymało tę metodę bezterminowo. Wygenerowany token działa do unieważnienia. | Nie dłużej niż 2 lata od wydania albo wskazanego początku ważności. |
| Czy obsługuje drugi kod QR offline? | Nie. | Tak, ale tylko certyfikat typu 2. |
| Czy pozwala złożyć wniosek o certyfikat? | Nie. | Ważny certyfikat do uwierzytelniania może posłużyć do wniosku o kolejny certyfikat. |
Tokeny z KSeF 1.0 nie działają w KSeF 2.0. Nie trzeba natomiast wymieniać tokena KSeF 2.0 tylko z powodu końca 2026 r. MF wycofało założenie o zakończeniu tej metody. Źródła: FAQ MF, odpowiedź 39 w sekcji o uprawnieniach i autoryzacji oraz dokumentacja tokenów.
Gdzie złożyć wniosek: MCU i obecna aplikacja
MCU, czyli Moduł Certyfikatów i Uprawnień, udostępniono 1 listopada 2025 r. Pozwalał przygotować uprawnienia i certyfikaty przed startem KSeF 2.0. To dlatego nazwa MCU nadal pojawia się w starszych instrukcjach.
Od 1 lutego 2026 r. wnioskowanie o certyfikaty i zarządzanie uprawnieniami jest dostępne w Aplikacji Podatnika KSeF 2.0 oraz w programach połączonych z API KSeF 2.0. API to sposób komunikacji programu z KSeF. Aktualny wniosek rozpocznij przez oficjalny portal KSeF, zamiast szukać dawnego osobnego modułu MCU.
Źródło: informacja MF o MCU i przeniesieniu jego funkcji. Połączenie z programem opisujemy na stronie integracji z KSeF przez API.
Jak uzyskać certyfikat krok po kroku
Wniosek dotyczy tożsamości, którą potwierdzisz przy logowaniu. Osoba wskazana do reprezentowania spółki nie uzyskuje przez to certyfikatu wydanego na spółkę. Może uzyskać certyfikat własny. Certyfikat podmiotu wymaga uwierzytelnienia właściwą pieczęcią kwalifikowaną.
Krok po krokuWniosek w Aplikacji Podatnika KSeF 2.0
- 1
Otwórz Aplikację Podatnika KSeF 2.0.
Wejdź przez oficjalny portal Ministerstwa Finansów i wybierz właściwe środowisko.
- 2
Uwierzytelnij się metodą obsługiwaną przy wniosku.
Użyj na przykład Podpisu Zaufanego, podpisu kwalifikowanego, pieczęci albo ważnego certyfikatu KSeF do uwierzytelniania. Sam token nie wystarczy.
- 3
Sprawdź dane osoby albo podmiotu.
Dane we wniosku muszą odpowiadać tożsamości potwierdzonej podczas uwierzytelnienia. Sprawdź także dostępne limity certyfikatów.
- 4
Wybierz typ certyfikatu.
Wybierz typ 1 do logowania albo typ 2 do obsługi offline. Podaj nazwę i datę początku ważności, jeżeli jest potrzebna.
- 5
Zabezpiecz klucz prywatny.
Klucz prywatny służy do podpisywania operacji. Zachowaj go i hasło zgodnie z instrukcją aplikacji. Sam publiczny certyfikat nie wystarczy.
- 6
Wyślij wniosek o certyfikat.
Po wysłaniu sprawdź jego status. Certyfikat jest dostępny po zakończeniu przetwarzania wniosku.
- 7
Pobierz wydany certyfikat.
Zapisz certyfikat w bezpiecznym miejscu razem z informacją o jego typie i terminie ważności.
- 8
Sprawdź działanie w swoim programie.
Skonfiguruj odpowiedni certyfikat i odpowiadający mu klucz. Sprawdź uprawnienia do firmy, w której program ma działać.
Źródła procesu: FAQ MF, opis aplikacji i MCU oraz oficjalna dokumentacja wniosku. Nazwy przycisków mogą zmieniać się wraz z wersją aplikacji.
Ważność, nowy certyfikat i unieważnienie
Certyfikat KSeF jest ważny maksymalnie 2 lata. Dokładną datę sprawdzisz w jego danych. Przed końcem ważności złóż wniosek o nowy certyfikat i zmień konfigurację programu. Ważny certyfikat do uwierzytelniania pozwala wystąpić o kolejny. Po wygaśnięciu użyj innej dopuszczonej metody uwierzytelnienia.
Zmiana uprawnień do jednej firmy nie unieważnia samego certyfikatu. Program może poprawnie potwierdzić tożsamość, a mimo to nie dostać dostępu do faktur tej firmy. W takiej sytuacji sprawdź uprawnienia zamiast od razu generować kolejny certyfikat.
Jeśli klucz prywatny trafi do osoby nieuprawnionej, unieważnij certyfikat i uzyskaj nowy. Dokumentacja MF przewiduje unieważnianie certyfikatów. Nie jest to funkcja zastrzeżona tylko dla tokenów. Unieważnionego certyfikatu nie da się ponownie wykorzystać.
Źródła: FAQ MF o ważności i zmianie uprawnień i opis unieważniania certyfikatów.
Program odmawia dostępu: co sprawdzić
Zanim zmienisz metodę logowania, ustal, czy błąd dotyczy potwierdzenia tożsamości, dostępu do firmy czy samej faktury. To trzy różne etapy. Poniższa lista wynika z wymagań opisanych w dokumentacji MF.
- Sprawdź typ certyfikatu. Certyfikat Offline nie pozwala się zalogować.
- Sprawdź uprawnienia właściciela certyfikatu do wskazanej firmy. Sam certyfikat ich nie nadaje.
- Sprawdź zgodność klucza prywatnego z certyfikatem i poprawność hasła do klucza.
- Sprawdź daty ważności i status certyfikatu. Certyfikat wygasły albo unieważniony nie zadziała.
- Sprawdź wersję tokena. Token z KSeF 1.0 trzeba zastąpić tokenem KSeF 2.0.
- Jeśli token nie ma potrzebnego uprawnienia, wygeneruj nowy token z odpowiednim zakresem.
- Jeśli składasz wniosek o certyfikat, zaloguj się dopuszczoną metodą inną niż sam token.
Dokumentacja: uwierzytelnianie KSeF, certyfikaty i tokeny.
Czy można przekazać certyfikat księgowej
Certyfikat wydany na osobę fizyczną jest osobisty. Nie przekazuj go księgowej ani innemu pracownikowi. Nadaj właściwe uprawnienia tej osobie lub biuru rachunkowemu. Osoba, która otrzyma uprawnienia, uwierzytelnia się własną metodą.
Certyfikat wydany na spółkę nie jest związany z konkretnym pracownikiem. Spółka może udostępnić go wybranym pracownikom, ale odpowiada za kontrolę dostępu, rejestrację użycia i unieważnianie. To inna sytuacja niż osobisty certyfikat przedsiębiorcy.
Źródło: FAQ MF o przekazywaniu certyfikatów. Obsługę wielu klientów opisujemy na stronie KSeF dla biura rachunkowego.
Pytania o certyfikat i token KSeF
Czy token KSeF przestaje działać 31 grudnia 2026 r.?
Nie. MF utrzymało metodę uwierzytelniania tokenem KSeF 2.0 bezterminowo. Wygenerowany token pozostaje ważny do jego unieważnienia. Nie dotyczy to tokenów z KSeF 1.0, które nie działają w KSeF 2.0.
Czy jeden certyfikat wystarczy do logowania i trybu offline?
Nie. Certyfikat typu 1 służy do uwierzytelniania, a typu 2 do potwierdzania wystawcy kodem QR w określonych przypadkach offline. Jeden certyfikat ma tylko jeden typ.
Ile kosztuje certyfikat KSeF?
Uzyskanie certyfikatu KSeF w narzędziach Ministerstwa Finansów jest bezpłatne. Dostawca programu może osobno rozliczać konfigurację albo integrację. Cena takiej usługi nie jest opłatą MF za certyfikat.
Jak długo jest ważny certyfikat KSeF?
Nie dłużej niż 2 lata od wydania albo od wskazanej daty początkowej. Przed upływem ważności uzyskaj nowy certyfikat i ustaw go w programie.
Czy sam token pozwala uzyskać certyfikat?
Nie. Wniosek wymaga odpowiedniego uwierzytelnienia, na przykład Podpisem Zaufanym, podpisem kwalifikowanym, pieczęcią albo ważnym certyfikatem KSeF do uwierzytelniania.
Czy w listopadzie 2026 r. wniosek składa się w osobnym MCU?
MF przeniosło funkcje dotyczące wniosków i uprawnień do Aplikacji Podatnika KSeF 2.0 od 1 lutego 2026 r. Są też dostępne w programach połączonych z API KSeF 2.0.
Czy certyfikat KSeF można unieważnić?
Tak. Dokumentacja MF opisuje unieważnienie certyfikatu przez właściciela. Unieważnionego certyfikatu nie można ponownie użyć. Gdy potrzebujesz kolejnego, złóż nowy wniosek.
Dalsze kroki z KSeF
Zobacz wdrożenie KSeF
Integracja z KSeF przez API
Połącz uwierzytelnianie, wysyłkę i pobieranie faktur z Twoim programem.
KSeF dla biura rachunkowego
Uporządkuj uprawnienia i pracę na fakturach wielu klientów.
Potrzebujesz połączyć KSeF z programem?
Opisz program i problem z dostępem. Sprawdzimy zakres połączenia i przygotujemy bezpłatną Mapę Oszczędności. Odezwiemy się w ciągu 24 godzin.