Logowanie do KSeF w małej firmie: Profil Zaufany, token czy certyfikat

Większość właścicieli małych firm loguje się do urzędowych systemów Profilem Zaufanym i zakłada, że w KSeF będzie tak samo. Częściowo tak jest: do aplikacji ministerstwa wejdziesz w ten sposób. Niestety program do faktur, praca księgowej i wystawianie faktur w czasie awarii KSeF wymagają innych sposobów uwierzytelnienia, o których trzeba pomyśleć wcześniej. Jak zalogować się do KSeF w małej firmie? Właściciel jednoosobowej działalności zwykle loguje się Profilem Zaufanym, a program do faktur łączy z KSeF tokenem albo certyfikatem KSeF. Najważniejsze rzeczy, które trzeba wiedzieć, to:

• jakie sposoby logowania do KSeF przewiduje Ministerstwo Finansów,

• czym różni się token od certyfikatu KSeF,

• jakie są dwa typy certyfikatów i do czego służy każdy,

• co wybrać w jednoosobowej działalności, a co w spółce.

Pięć sposobów logowania do KSeF

Ministerstwo Finansów wymienia w podręczniku KSeF 2.0, część II pięć metod uwierzytelnienia:

• węzeł krajowy, czyli między innymi Profil Zaufany,

• kwalifikowany podpis elektroniczny (dla osób fizycznych),

• kwalifikowana pieczęć elektroniczna (dla firm, które nie są osobą fizyczną, na przykład spółek),

• certyfikat KSeF - tego używamy w Fakturi dla naszych klientów

• token.

Samym numerem PESEL nie zalogujesz się do KSeF. Pierwsze trzy sposoby to te same narzędzia, których używasz w innych systemach państwowych. Dwa ostatnie są specyficzne dla KSeF i to o nie firmy pytają najczęściej.

Kto ma uprawnienia od pierwszego logowania

W jednoosobowej działalności komplet uprawnień w KSeF jest przypisany do właściciela automatycznie. Właściciel może się zalogować, wystawić fakturę i nadać uprawnienia innym, na przykład księgowej.

Spółka może uwierzytelnić się kwalifikowaną pieczęcią elektroniczną. Jeśli jej nie ma, składa w urzędzie skarbowym zawiadomienie ZAW-FA i wskazuje osobę fizyczną, która będzie korzystać z KSeF w jej imieniu. Ta osoba loguje się w kontekście spółki, wystawia jej faktury i może nadawać uprawnienia innym. O nadawaniu uprawnień piszemy w tekście jak dać księgowej albo biuru rachunkowemu dostęp do KSeF.

Token KSeF: uprawnienia zapisane na stałe

Token to ciąg znaków, który generujesz w KSeF i podajesz programowi albo osobie, która ma działać w Twoim imieniu. Ministerstwo Finansów wyjaśnia na stronie o certyfikatach KSeF, że token zawiera uprawnienia zadeklarowane w chwili jego wygenerowania. Jeśli wygenerujesz token z prawem do pobierania faktur, program, który go dostanie, będzie mógł pobierać faktury i nic więcej.

Tokeny miały działać tylko do końca 2026 r. MF zdecydowało jednak, że zostaną utrzymane bezterminowo, a rozporządzenie o korzystaniu z KSeF zostanie zmienione. Jeśli więc Twój program albo biuro rachunkowe korzysta dziś z tokenu, nie musisz go wymieniać w grudniu.

Tokenu pilnuj jak hasła. Kto go ma, działa w KSeF w Twoim imieniu w zakresie zapisanych w nim uprawnień. Przy zmianie programu albo biura unieważnij tokeny, które przestały być potrzebne.

Certyfikat KSeF: dwa typy, dwa zadania

Certyfikat KSeF to plik z kluczem, który potwierdza tożsamość osoby albo firmy. W odróżnieniu od tokenu sam nie niesie uprawnień: działa w zakresie uprawnień, które dana osoba albo firma ma w KSeF. MF porównuje go pod tym względem do podpisu kwalifikowanego.

Ministerstwo przewiduje dwa typy certyfikatów, które generuje się osobno:

• typ 1 służy do uwierzytelnienia, czyli logowania do KSeF, także przez program do faktur,

• typ 2 służy do oznaczania faktur wystawianych w trybach offline, gdy KSeF nie działa albo gdy wybierzesz tryb offline24.

Certyfikat typu 2 jest potrzebny do drugiego kodu QR z napisem „CERTYFIKAT”, który potwierdza tożsamość wystawcy faktury offline. Tokenem tego nie zrobisz. Jeśli chcesz być gotowy na awarię KSeF, potrzebujesz certyfikatu offline, zanim awaria się zdarzy. Więcej o tym w tekście KSeF nie działa: tryb offline24 w praktyce małej firmy.

Od lutego 2026 r. o certyfikat wnioskujesz w Aplikacji Podatnika KSeF albo przez API KSeF. Wniosek składa podatnik albo osoba uprawniona, zalogowana na przykład Profilem Zaufanym, podpisem albo pieczęcią kwalifikowaną. Certyfikat jest ważny najwyżej 2 lata, więc zapisz w kalendarzu datę jego wygaśnięcia.

Co wybrać w swojej firmie

W jednoosobowej działalności najprościej jest tak:

1. Do Aplikacji Podatnika KSeF logujesz się Profilem Zaufanym.

2. Program do faktur łączysz z KSeF certyfikatem albo tokenem, zależnie od tego, czego wymaga program. Tu się oczywiście serdecznie polecamy.

3. Księgowej nadajesz uprawnienie w KSeF, a jej biuro łączy swój program własnym tokenem albo certyfikatem.

4. Jeśli chcesz wystawiać faktury w czasie awarii KSeF, generujesz też certyfikat offline.

W małej spółce różnica dotyczy pierwszego kroku. Jeśli spółka ma kwalifikowaną pieczęć, może jej używać. Jeśli nie, osoba wskazana w ZAW-FA loguje się swoimi danymi w kontekście spółki. Certyfikaty firmowe nie są przypisane do konkretnych osób, więc spółka sama odpowiada za to, komu je przekazuje i kto z nich korzysta.

Uważamy, że najczęstszy błąd to jeden token „do wszystkiego”, wygenerowany z pełnymi uprawnieniami i przekazany kilku osobom albo programom. Lepiej mieć osobny dostęp dla każdego programu i każdej osoby, z takimi uprawnieniami, jakich naprawdę potrzebują.

Jak przechowywać token i certyfikat

Token i certyfikat KSeF to klucze do Twoich faktur, więc traktuj je jak hasła do bankowości. Kilka zasad oszczędzi Ci kłopotów.

Nie wysyłaj tokenu ani pliku certyfikatu mailem ani komunikatorem. Jeśli musisz przekazać go programowi albo biuru, wklej go bezpośrednio w ustawieniach programu albo przekaż przez menedżer haseł. Plik certyfikatu i hasło do jego klucza trzymaj osobno.

Każdy program i każde biuro powinno mieć osobny token albo certyfikat. Kiedy kończysz współpracę albo zmieniasz program, unieważniasz tylko ten jeden dostęp, a pozostałe działają dalej.

Certyfikat offline przechowuj tam, gdzie będziesz go potrzebować w dniu awarii: w programie, w którym wystawiasz faktury offline. Certyfikat zapisany na laptopie, który został w biurze, nie pomoże Ci u klienta.

Zapisz w kalendarzu daty wygaśnięcia certyfikatów, z kilkutygodniowym wyprzedzeniem. Program, który nagle traci połączenie z KSeF, bo wygasł certyfikat, to jeden z najbardziej przewidywalnych problemów. Więcej o ochronie kont i dokumentów firmy piszemy w tekście bezpieczne fakturowanie w erze AI i KSeF.

Najczęstsze pytania

Czy mogę zalogować się do KSeF Profilem Zaufanym?

Tak. Profil Zaufany działa przez węzeł krajowy, który jest jedną z metod uwierzytelnienia w KSeF.

Czy tokeny KSeF przestaną działać po 2026 r.?

Nie. Ministerstwo Finansów zdecydowało, że tokeny zostaną utrzymane bezterminowo.

Czym różni się token od certyfikatu KSeF?

Token zawiera uprawnienia nadane przy jego wygenerowaniu. Certyfikat tylko potwierdza tożsamość i działa w zakresie uprawnień, które masz w KSeF.

Do czego potrzebny jest certyfikat offline?

Do oznaczania faktur wystawianych w trybach offline drugim kodem QR, który potwierdza tożsamość wystawcy.

Jak długo ważny jest certyfikat KSeF?

Najwyżej 2 lata od daty wytworzenia albo od daty początkowej wskazanej przez podatnika.

Od czego zacząć jeszcze w tym tygodniu

Zaloguj się do Aplikacji Podatnika KSeF Profilem Zaufanym i sprawdź, jakie tokeny i certyfikaty są już wygenerowane w Twoim kontekście oraz kto ma uprawnienia. Jeśli korzystasz z Fakturi, łączysz konto z KSeF w ustawieniach integracji, a faktury kosztowe pobieramy z systemu automatycznie.

Stan prawny na 6 listopada 2026 r. Artykuł ma charakter informacyjny.