KSeF
Certyfikat i token KSeF: jak bezpiecznie nadać dostęp
Krótka odpowiedź: program, sklep albo skrypt może łączyć się z KSeF za pomocą tokena lub certyfikatu KSeF. Różnica jest ważna. Token ma przypisane uprawnienia wybrane podczas jego tworzenia i działa do momentu unieważnienia. Certyfikat służy tylko do logowania, jest ważny maksymalnie 2 lata, a zakres dostępu zależy od uprawnień nadanych w KSeF (MF, Podręcznik KSeF 2.0 cz. I).
Trzymamy się prostej zasady: każdy program i każda osoba powinny mieć własny dostęp, ograniczony do tego, co faktycznie jest potrzebne. A kiedy współpraca się kończy, dostęp trzeba odebrać.
Jak można się zalogować do KSeF
Według podręcznika MF z sierpnia 2026 r. osoba fizyczna może zalogować się do KSeF przez Węzeł krajowy, podpis kwalifikowany, token albo certyfikat KSeF. Firma, która nie jest osobą fizyczną, korzysta z pieczęci kwalifikowanej, tokena albo certyfikatu KSeF (MF, Podręcznik cz. I, rozdz. 2).
Początkowo tokeny miały działać tylko do końca 2026 r. Ministerstwo Finansów zdecydowało jednak, że zostaną na czas nieokreślony. Odpowiednie rozporządzenie ma zostać zmienione (MF, Certyfikaty KSeF).
Jeśli Twój program korzysta już z tokena, nie musisz wymieniać go przed styczniem. Warto jednak śledzić, kiedy zmiana przepisów wejdzie w życie.
Token i certyfikat: różnice, które mają znaczenie
| Cecha | Token | Certyfikat KSeF |
|---|---|---|
| Zawiera uprawnienia | tak, wybrane podczas generowania | nie, służy tylko do logowania |
| Okres ważności | bezterminowo, do unieważnienia | maksymalnie 2 lata |
| Praca w kilku firmach (kontekstach) | nie, działa w jednym kontekście | tak |
| Można zmienić zakres | nie, trzeba wygenerować nowy token | nie dotyczy |
| Można unieważnić | tak | tak |
| Logowanie w Aplikacji Podatnika KSeF | nie | nie |
Źródło: MF, Podręcznik cz. I, tabela 3 i rozdz. 2.4 do 2.5.
Z tego samego podręcznika wynika kilka zasad, które warto znać, zanim zaczniesz korzystać z tokenów:
- Token można zobaczyć tylko raz, w momencie wygenerowania go w Aplikacji Podatnika. Dlatego od razu trzeba zapisać go w programie, który będzie z niego korzystał.
- MF nie dopuszcza używania tokena przez inną osobę fizyczną niż ta, która go wygenerowała. Nie można więc traktować tokena jak zwykłego hasła, które przekazuje się kolejnym osobom.
- Odebranie uprawnień nie unieważnia tokena. Token nadal istnieje, ale nie pozwala już wykonywać czynności, do których odebrano dostęp. Jeśli chcesz całkowicie go wyłączyć, musisz go unieważnić.
- Listę tokenów wraz z datą ostatniego użycia może przeglądać osoba uprawniona do przeglądania uprawnień albo zarządzania nimi. Token może unieważnić jego twórca lub osoba zarządzająca uprawnieniami.
Certyfikaty KSeF występują w dwóch typach, które generuje się osobno. Typ 1 służy do logowania, a typ 2 do tworzenia kodu QR „CERTYFIKAT” na fakturach offline (MF, Certyfikaty KSeF).
Warto też pamiętać, że certyfikat wystawiony na dane firmy nie jest przypisany do konkretnego pracownika. MF wskazuje, że to firma odpowiada za przekazywanie go pracownikom. Powinna również prowadzić ewidencję tego, kto certyfikat pobrał, używał i unieważnił (to samo źródło).
Jakie uprawnienia dać komu
W KSeF wystawianie faktur i dostęp do faktur to dwa osobne uprawnienia. Możesz nadać tylko jedno z nich, jeśli drugie nie jest potrzebne.
Trzeba przy tym pamiętać, że dostęp do faktur obejmuje wszystkie faktury podatnika, zarówno sprzedażowe, jak i zakupowe. Z kolei zarządzanie uprawnieniami, czyli ich nadawanie i odbieranie, stanowi jedno uprawnienie. Nie można rozdzielić tych czynności (MF, Podręcznik cz. I, rozdz. 3.1).
| Kto albo co | Co zwykle wystarcza |
|---|---|
| Skrypt pobierający faktury kosztowe do arkusza | dostęp do faktur |
| Sklep albo BaseLinker wystawiający faktury | wystawianie faktur |
| Biuro rachunkowe, które zajmuje się tylko księgowaniem | dostęp do faktur |
| Biuro, które również wystawia faktury za klienta | wystawianie i dostęp do faktur |
| Wykonawca automatyzacji podczas testów | najlepiej bez dostępu do produkcji, na kopii plików albo w środowisku testowym KSeF |
To nasze zalecenia dotyczące wdrożeń, a nie wymagania wynikające z przepisów. Uprawnienie do zarządzania dostępami zostawilibyśmy właścicielowi firmy albo jednej zaufanej osobie.
Lista kontrolna
- Jeden program, jeden token. Nadaj mu nazwę, po której od razu wiadomo, do czego służy, np. „Sklep, wystawianie”.
- Przyznawaj tylko potrzebne uprawnienia. Jeśli skrypt ma jedynie przygotowywać raport kosztów, nie potrzebuje prawa do wystawiania faktur.
- Zapisuj, kto ma dostęp i do czego. Warto mieć listę osób, programów, rodzajów uprawnień i dat ich nadania.
- Raz na kwartał sprawdzaj listę tokenów oraz daty ostatniego użycia. Te, które nie są już potrzebne, unieważnij.
- Kontroluj daty ważności certyfikatów. O nowy certyfikat trzeba wystąpić, zanim poprzedni wygaśnie. MF zaleca, żeby firma miała własną procedurę zarządzania certyfikatami (to samo źródło, rozdz. 2.5.3).
- Po zakończeniu współpracy z wykonawcą albo biurem rachunkowym odbierz przyznane uprawnienia i unieważnij tokeny utworzone na potrzeby tej współpracy.
Jak pracujemy z dostępami
Przy wdrożeniach pracujemy na kopii danych. Jeśli potrzebujemy dostępu do systemu, prosimy tylko o uprawnienia niezbędne do wykonania zadania i wyłącznie na czas zlecenia. Po zakończeniu pracy pliki, instrukcja i dostępy zostają u Ciebie (O nas).
Integracje z KSeF najpierw sprawdzamy w środowisku testowym KSeF albo na kopii danych. Na prawdziwych fakturach pracujemy dopiero po zaakceptowaniu testów (Integracja programu i sklepu z KSeF).
Jeśli do działania rozwiązania potrzebna jest płatna usługa zewnętrzna, konto zakładamy na Ciebie. Z kolei dema, które udostępniamy na stronie, działają w całości w przeglądarce i nie przesyłają plików na serwer (Polityka prywatności).
FAQ
Czy mogę dać księgowej swój token?
Nie. Według MF tokenem nie może posługiwać się osoba inna niż ta, która go wygenerowała (MF, Podręcznik cz. I, rozdz. 2.4.4). Najlepiej nadać księgowej odpowiednie uprawnienia w KSeF. Wtedy będzie mogła wygenerować własny token albo skorzystać ze swojego certyfikatu.
Czy token wygasa?
Nie. KSeF nie określa terminu ważności tokena. Działa on do momentu unieważnienia (to samo źródło, rozdz. 2.4.2).
Odebrałem biuru uprawnienia. Czy jego certyfikat przestał działać?
Sam certyfikat nie zostaje unieważniony. Biuro nie może już jednak wykonywać czynności w kontekście Twojej firmy, ponieważ nie ma do tego uprawnień (to samo źródło, rozdz. 2.5.7).
Czy mogę dodać uprawnienie do istniejącego tokena?
Nie. Zakresu uprawnień tokena nie można zmieniać. Trzeba wygenerować nowy token, a poprzedni unieważnić, jeśli nie będzie już potrzebny (to samo źródło, rozdz. 2.4.7).
Do czego jest certyfikat typu 2?
Służy do wygenerowania drugiego kodu QR na fakturze wystawionej offline, którą przekazujesz nabywcy poza KSeF, zanim trafi ona do systemu (MF, Certyfikaty KSeF).
Stan na 29.10.2026. Zasady dotyczące tokenów mają zostać zmienione rozporządzeniem, dlatego przed podjęciem decyzji sprawdź aktualne informacje na ksef.podatki.gov.pl.