Certyfikat KSeF i token: do czego służą i jak je uzyskać

W skrócie

Certyfikat KSeF to cyfrowe poświadczenie tożsamości, które Centrum Certyfikacji Ministerstwa Finansów wydaje na wniosek uwierzytelnionego użytkownika i które jest ważne najwyżej 2 lata. Typ 1 służy do logowania programów do systemu, typ 2 do oznaczania faktur wystawianych offline. Nie trzeba go mieć, żeby korzystać z bezpłatnej Aplikacji Podatnika, bo do niej wchodzi się przez login.gov.pl albo podpisem kwalifikowanym, a certyfikatem ani tokenem nie da się do niej zalogować (MF, Certyfikaty KSeF, aktualizacja z 1 września 2026 r.).

Tokeny działają równolegle z certyfikatami. Ministerstwo zapowiedziało ich bezterminowe utrzymanie, choć rozporządzenie z 12 grudnia 2025 r. nadal wymienia termin 31 grudnia 2026 r., a nowelizacji na dzień 3 października 2026 r. jeszcze nie ogłoszono.

Czy w KSeF trzeba mieć certyfikat?

Nie każdy. KSeF nie ma loginów ani kont, więc przy każdym wejściu wymaga uwierzytelnienia, ale rozporządzenie wskazuje kilka równorzędnych dróg: środek identyfikacji z węzła krajowego (login.gov.pl, czyli Profil Zaufany, mObywatel, bankowość elektroniczna lub e-Dowód), kwalifikowany podpis, kwalifikowaną pieczęć albo certyfikat KSeF (§ 6 ust. 1 rozporządzenia z 12 grudnia 2025 r., Dz. U. 2025 poz. 1815). Węzeł krajowy działa od 14 lutego 2026 r., wcześniej dostępny był sam Profil Zaufany.

Pracownik firmy nie musi mieć podpisu kwalifikowanego: wystarczy Profil Zaufany, a po zalogowaniu może wygenerować certyfikat lub token do programu zintegrowanego z KSeF, jeśli producent taką obsługę zaimplementował (MF, pytania i odpowiedzi KSeF 2.0). Terminy samego obowiązku fakturowania zebrano w poradniku o tym, od kiedy KSeF jest obowiązkowy.

Jakie są rodzaje certyfikatów KSeF i do czego służy typ 1, a do czego typ 2?

Ministerstwo wydaje dwa rodzaje certyfikatów i nie da się ich połączyć w jednym: każdy wnioskuje się osobno. Trzeba je odróżniać już przy wniosku, bo aplikacja pyta o przeznaczenie, a w polu CN gotowego certyfikatu pojawia się dopisek „uwierzytelnianie” lub „offline”.

Typ 2 potwierdza tożsamość osoby, jeśli wydano go na osobę fizyczną, albo konkretnego podmiotu, jeśli wydano go na spółkę. Kod z certyfikatu trafia na fakturę wydawaną poza KSeF nabywcy, który odbiera ją poza systemem, na przykład klientowi zagranicznemu lub konsumentowi (art. 106gb ust. 4 ustawy o VAT). Krajowy odbiorca z NIP dostaje fakturę w KSeF, a przed nadaniem numeru sprzedawca może mu wydać potwierdzenie transakcji z dwoma kodami QR. Zasady trybów offline opisuje poradnik o fakturze w KSeF.

Certyfikat nie niesie uprawnień. Po zalogowaniu system sprawdza, jakie uprawnienia nadano identyfikatorowi z certyfikatu, czyli NIP lub PESEL, i uwzględnia powiązanie obu numerów. Jeden certyfikat typu 1 można więc wykorzystać w kontekście kilku firm, a zmiany uprawnień nie wpływają na jego ważność. Dopiero odebranie wszystkich uprawnień właściciela uniemożliwia posłużenie się certyfikatem.

Czym różni się token od certyfikatu KSeF?

Token to wygenerowany przez KSeF ciąg znaków alfanumerycznych, przypisany do podatnika lub osoby uprawnionej i do uprawnień zapisanych w nim w chwili generowania. Służy do tego samego co certyfikat typu 1, czyli do logowania programów, ale działa inaczej (Podręcznik KSeF 2.0, cz. I, wydanie z sierpnia 2026 r.).

Rozporządzenie z 12 grudnia 2025 r. przewiduje w § 13 ust. 1 pkt 1, że token służy do uwierzytelniania do 31 grudnia 2026 r. Ministerstwo zdecydowało jednak o utrzymaniu tej metody bezterminowo i zapowiada zmianę rozporządzenia (MF, pytania i odpowiedzi, 11 września 2026 r.). Rejestr aktów w API Sejmu nie pokazuje na 3 października 2026 r. nowelizacji, więc o ostatecznej treści przepisu trzeba będzie jeszcze przeczytać. Tokeny z dawnej wersji KSeF 1.0 nie działają w KSeF 2.0 i nie zostały przeniesione.

Jak uzyskać i pobrać certyfikat KSeF krok po kroku?

Wniosek składa się w Aplikacji Podatnika KSeF 2.0. Do końca stycznia 2026 r. służył do tego Moduł Certyfikatów i Uprawnień, który zastąpiła aplikacja, a uprawnienia nadane w module przeniesiono do KSeF 2.0 (MF, Moduł Certyfikatów i Uprawnień). Kroki opisuje podręcznik użytkownika Aplikacji Podatnika z 6 sierpnia 2026 r.

1. Zaloguj się w kontekście, na który ma powstać certyfikat. Użyty środek uwierzytelnienia i zawarty w nim identyfikator decydują, czy certyfikat dostanie NIP, czy PESEL, a certyfikat na NIP spółki wymaga zalogowania pieczęcią kwalifikowaną.
2. Wybierz „Wnioskuj o certyfikat”. W pierwszym kroku aplikacja wygeneruje parę kluczy, publiczny i prywatny.
3. Wpisz nazwę certyfikatu (od 5 do 100 znaków: litery, cyfry, spacje, „-” i „_”) oraz hasło do klucza prywatnego: od 15 do 32 znaków, wielka i mała litera bez polskich znaków, cyfra i znak z listy !@#$%^&*()-_=+. Hasła nie da się zresetować.
4. Użyj przycisku „Generuj”. Klucz prywatny zapisze się na urządzeniu jako plik z rozszerzeniem .key.
5. W drugim kroku wybierz przeznaczenie, „Uwierzytelnienie w systemie KSeF” albo „Podpis linku weryfikacyjnego wystawcy”, oraz datę, od której certyfikat ma być ważny.
6. Wyślij wniosek, odświeżaj ekran do zakończenia procesu i kliknij „Pobierz certyfikat”.
7. Sprawdź na liście certyfikatów status „Aktywny”. Czy i jak program księgowy przyjmie certyfikat, wyjaśni jego producent, bo MF wymaga od takiego programu między innymi podpisu XAdES-BES.

Jak wygenerować token w Aplikacji Podatnika?

Token powstaje po zalogowaniu przez login.gov.pl albo podpisem lub pieczęcią kwalifikowaną. W menu „Tokeny” wybiera się „Generuj token”, wpisuje nazwę i zaznacza uprawnienia, które token ma nieść: wystawianie faktur, przeglądanie faktur, przeglądanie uprawnień, zarządzanie uprawnieniami, zarządzanie jednostkami podrzędnymi i przeglądanie historii sesji, z której pobiera się UPO. Nie można przypisać tokenowi uprawnienia, którego generujący nie ma w danym kontekście. Aplikacja pokazuje numer tokena tylko raz, więc trzeba go od razu zapisać poza aplikacją.

Tokena nie da się potem uzupełnić o kolejne uprawnienie, trzeba wygenerować nowy. Token wygenerowany we własnym kontekście działa tylko w nim, a lista tokenów w aplikacji pokazuje jego nazwę, status, datę aktywacji i datę ostatniego użycia.

Jak długo ważny jest certyfikat i ile ich można mieć?

Certyfikat jest ważny nie dłużej niż 2 lata od daty podanej we wniosku, a gdy jej nie wskazano, od dnia wydania. Można go odnowić w okresie ważności (§ 6 ust. 2 rozporządzenia). Przy kolejnym wniosku MF radzi wpisać początek ważności na dzień po wygaśnięciu poprzedniego certyfikatu, a nowy można wydać na miesiąc przed końcem ważności najstarszego aktywnego. Certyfikatu z odroczoną datą początku nie da się użyć przed tą datą.

Limity zależą od identyfikatora, na który wydano certyfikat (Podręcznik KSeF 2.0, cz. I):

• numer PESEL osoby fizycznej: do 6 aktywnych certyfikatów i do 12 wniosków w ciągu 30 dni;
• NIP osoby fizycznej lub podmiotu niebędącego osobą fizyczną: do 100 aktywnych i do 300 wniosków w 30 dni;
• certyfikat kwalifikowany bez NIP i PESEL, zgłoszony przez dane unikalne: do 6 aktywnych i 12 wniosków w 30 dni.

Do limitu wniosków liczą się także certyfikaty unieważnione, a po jego przekroczeniu nowego wniosku nie da się złożyć do końca okresu. Komunikat MF z 15 kwietnia 2026 r. opisywał dla osoby logującej się Profilem Zaufanym limit dwóch certyfikatów, podczas gdy podręcznik z sierpnia 2026 r. podaje 6 aktywnych, więc przy większej liczbie certyfikatów sprawdź aktualne wydanie podręcznika.

Jak bezpiecznie przechowywać certyfikat i token?

Ministerstwo każe traktować certyfikaty i tokeny jak dane logowania do bankowości: kto je ma, może wystawiać faktury i odbierać dokumenty w cudzym imieniu, a oszuści próbują wyłudzać dostęp. Z dokumentacji wynikają konkretne zasady:

• certyfikat wydany na osobę fizyczną może wnioskować, pobrać i stosować wyłącznie ta osoba, a przekazanie go innej osobie jest niedopuszczalne;
• certyfikat wydany na spółkę nie jest związany z konkretnym człowiekiem, więc firma odpowiada za jego przekazywanie, rejestr użycia i unieważnianie;
• token wygenerowany przez osobę fizyczną jest tylko jej, a token spółki, wygenerowany pieczęcią, może trafić do wyznaczonych pracowników według wewnętrznych zasad firmy;
• klucz prywatny należy przechowywać bezpiecznie, a hasła do niego, którego nie da się zresetować, nie wolno zgubić;
• certyfikat i token można unieważnić w aplikacji, a unieważnienie certyfikatu typu 1 przerywa trwającą sesję.

Firmy powinny mieć jasne zasady pobierania, przekazywania, używania i unieważniania certyfikatów, tak aby każda operacja w KSeF dała się rozliczyć (MF, Certyfikaty KSeF).

Jak dać biuru rachunkowemu dostęp do KSeF bez oddawania certyfikatu?

Certyfikat nie służy do dzielenia się dostępem. Ministerstwo odpowiada wprost jednoosobowej firmie, która pobrała certyfikat: nie wolno go udostępnić księgowej, bo jest osobistym poświadczeniem tożsamości, a księgowej trzeba nadać uprawnienia w inny sposób (MF, pytania i odpowiedzi). Biuro loguje się własnymi środkami, a w kontekście klienta działa dzięki uprawnieniom, które klient mu nadał.

W Aplikacji Podatnika klient wybiera zakładkę uprawnień, „Nadaj uprawnienie”, rodzaj „Podmiotowi do wystawiania i przeglądania faktur”, wpisuje NIP i pełną nazwę biura oraz zakres. Zaznaczenie prawa do dalszego przekazywania pozwala biuru wskazać pracowników, którzy pracują na koncie klienta, więc nie trzeba nadawać uprawnień każdemu osobno (MF, najczęstsze pytania). Uprawnienie do wystawiania faktur i do dostępu do faktur to dwa odrębne uprawnienia, a dostęp obejmuje zarówno faktury sprzedaży, jak i zakupu. Uprawnienie do zarządzania uprawnieniami pozwala z kolei nadawać i odbierać dostęp innym, więc zwykle wykracza poza potrzeby księgowania.

Przed podpisaniem umowy dopytaj biuro, czy obsługuje KSeF tokenem, czy certyfikatem, kto u niego te dane przechowuje i co dzieje się z dostępem, gdy pracownik odchodzi. Warto też ustalić na piśmie, kto obsługuje faktury offline i certyfikat typu 2. Odpowiedzi kilku biur zestawisz w kalkulatorze dwóch ofert i w tabeli z poradnika o porównywaniu ofert biur. Wariant działający całkowicie przez internet omawia tekst o księgowości online.

Co z certyfikatem i tokenem po zmianie biura lub pracownika?

Odebranie biuru uprawnień w Aplikacji Podatnika kończy jego dostęp do konta klienta. Robi to osoba z uprawnieniem do zarządzania uprawnieniami. Własny certyfikat biura pozostaje ważny i działa dla jego pozostałych klientów, bo zmiany uprawnień nie wpływają na ważność certyfikatu (MF, pytania i odpowiedzi). Jeśli token firmy był wgrany do programu używanego przez dotychczasowe biuro, trzeba go unieważnić i wygenerować nowy dla kolejnego programu. Unieważnić token może jego twórca albo osoba z uprawnieniem do zarządzania uprawnieniami.

Podobnie postępuje się przy odejściu pracownika: odbiera mu się nadane uprawnienia, a certyfikaty i tokeny, które spółka wydała na dane firmy, przekazuje innej wyznaczonej osobie lub unieważnia. Pozostałe kroki przy przekazaniu ksiąg, pełnomocnictw i dostępów do programów opisuje poradnik o zmianie biura rachunkowego.

Źródła i zakres informacji

• MF, Certyfikaty KSeF, zmodyfikowano 1 września 2026 r.: typy certyfikatów, ważność, tokeny a certyfikaty.
• MF, Podręcznik KSeF 2.0, cz. I, wydanie z sierpnia 2026 r. (stan prawny na 1 lutego 2026 r.): metody uwierzytelnienia, tokeny, limity certyfikatów, uprawnienia.
• MF, Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, 6 sierpnia 2026 r.: wniosek o certyfikat, hasło do klucza, generowanie tokena.
• MF, Pytania i odpowiedzi KSeF 2.0, zmodyfikowano 11 września 2026 r.: certyfikat nie dla księgowej, tokeny bezterminowo, uprawnienia dla biura.
• Rozporządzenie MFiG z 12 grudnia 2025 r., Dz. U. 2025 poz. 1815 oraz rozporządzenie z 13 lutego 2026 r., Dz. U. 2026 poz. 169: metody uwierzytelniania, ważność certyfikatu, § 13 o tokenach.
• Rejestr aktów API Sejmu, Dz. U. 2025 poz. 1815: jedyny akt zmieniający to rozporządzenie z 13 lutego 2026 r. (sprawdzono 3 października 2026 r.).
• Obwieszczenie Marszałka Sejmu z 1 września 2026 r., Dz. U. 2026 poz. 1263: tekst jednolity ustawy o VAT, art. 106gb ust. 4 i art. 106nda ust. 7.
• MF, Dostępy, 15 kwietnia 2026 r. i Najczęstsze pytania, 29 kwietnia 2026 r.: ZAW-FA, nadawanie uprawnień biuru.
• MF, Moduł Certyfikatów i Uprawnień oraz komunikat o tokenach z 9 grudnia 2025 r.: wygaszenie modułu, tokeny z KSeF 1.0.

Tekst opisuje stan na 3 października 2026 r. i ma charakter ogólnej informacji, a nie porady prawnej ani podatkowej. Szczegóły techniczne wniosku zależą od wersji aplikacji i programu, więc potwierdź je w bieżącej dokumentacji Ministerstwa Finansów lub u producenta oprogramowania.