KSeF — moduł certyfikatów i uprawnień

Certyfikat KSeF typu 1 służy do uwierzytelniania w systemie. Typ 2 potwierdza tożsamość wystawcy faktury w trybie offline¹. Poniżej wyjaśniamy, jak obsługiwać certyfikaty i uprawnienia, nadawać dostęp oraz odróżniać certyfikat od tokenu.
Fakturę offline przekazywaną poza KSeF przed wysłaniem do systemu oznacza się dwoma kodami QR. Do utworzenia drugiego potrzebny jest certyfikat typu 2².

Czym jest certyfikat KSeF?

Certyfikat KSeF jest środkiem uwierzytelnienia. Korzystanie z niego w systemie i przy fakturach wystawianych w trybach szczególnych rozpoczęło się 1 lutego 2026 r.¹.
Uwierzytelnienie potwierdza, kim jest użytkownik. O tym, co może zrobić po zalogowaniu, decydują osobno uprawnienia przypisane w KSeF¹. Certyfikat wskazuje więc osobę korzystającą z systemu, ale nie wyznacza zakresu jej działań³.

Czy certyfikat KSeF jest niezbędny do korzystania z systemu?

Certyfikat KSeF nie jest potrzebny przy każdym sposobie korzystania z systemu. Niezależnie od wybranej metody uwierzytelnienia użytkownik musi mieć uprawnienia do planowanych czynności.
Sam certyfikat nie pozwala wystawiać ani odbierać faktur w imieniu firmy. Zgodnie z § 4 ust. 1 rozporządzenia w sprawie korzystania z KSeF uprawnienia nadaje się po zweryfikowaniu osoby, która je nadaje².

Rodzaje certyfikatów: wydawanie, bezpieczeństwo i zarządzanie

W KSeF certyfikaty typu 1 i typu 2 wydaje się oddzielnie. Jeden certyfikat nie służy do obu zastosowań⁴. Typ mówi o jego przeznaczeniu, a dane osoby lub podmiotu wskazują posiadacza.
Przy zarządzaniu dostępem warto rozdzielić te dwie kwestie. § 6 ust. 1 pkt 4 rozporządzenia dotyczy uwierzytelniania certyfikatem, a § 9 ust. 10 pkt 1 lit. f – potwierdzania tożsamości wystawcy².

Na jakich zasadach wydawany jest certyfikat KSeF?

O certyfikat KSeF może wystąpić podatnik albo osoba uprawniona, jeśli wcześniej uwierzytelni się w systemie¹. Certyfikat można wydać osobie fizycznej identyfikowanej przez NIP lub PESEL. Podmiot z NIP uwierzytelnia się w tym celu kwalifikowaną pieczęcią elektroniczną¹.
Przy uwierzytelnianiu odciskiem palca obowiązuje limit 6 żądań wydania certyfikatu w ciągu 30 dni^5,6.

Tabela pokazuje limity certyfikatów KSeF zależne od sposobu identyfikacji. Dla PESEL przewidziano 6 aktywnych certyfikatów i 12 wniosków w ciągu 30 dni. Dla NIP wartości te wynoszą odpowiednio 100 i 300⁷.

Dane w tabeli: 1

Jak bezpiecznie przechowywać certyfikaty KSeF?

Certyfikaty KSeF trzeba przechowywać tak, by osoby nieuprawnione nie miały dostępu do klucza prywatnego ani hasła. Podczas składania wniosku powstaje para kluczy. Klucz publiczny trafia do certyfikacji, lecz klucz prywatny nie jest przekazywany do Centrum Certyfikacji KSeF⁴.
Dokumentacja API dopuszcza we wniosku klucz RSA o długości 2048 bitów albo klucz EC oparty na krzywej NIST P-256⁸.

Ochrona obejmuje zarówno klucz, jak i hasło. W MCU hasło zabezpieczające klucz prywatny musi mieć co najmniej 15 znaków⁹. W praktyce warto stosować poniższe zasady.

• Klucz prywatny przechowuj w miejscu dostępnym tylko dla osób upoważnionych do jego używania.
• Hasło do certyfikatu trzymaj oddzielnie od klucza prywatnego.
• Dostęp do kopii ogranicz na takich samych zasadach jak dostęp do pliku używanego na co dzień.

Te same zasady powinny obejmować używany plik, jego kopie oraz hasło.

Tokeny i certyfikaty w zarządzaniu dostępem do KSeF

Tokeny KSeF i certyfikaty pomagają zarządzać dostępem, ale nie rozstrzygają, komu firma powierza pracę w systemie. Ewidencja powinna wskazywać użytkownika, jego środek uwierzytelnienia oraz osobę odpowiedzialną za przechowywanie tego środka.
Dzięki temu kontrola danych dostępowych pozostaje oddzielona od organizacji pracy przy fakturach. Obowiązujący § 13 ust. 1 pkt 1 dopuszcza tokeny do 31 grudnia 2026 r.; Ministerstwo Finansów zaproponowało przedłużenie tego terminu².

Jak zarządzać certyfikatami w firmie?

Zarządzanie certyfikatami KSeF w firmie zależy od tego, czy wydano je pracownikowi, czy na dane spółki. Certyfikatu przypisanego osobie fizycznej nie wolno przekazać innej osobie fizycznej¹.
Certyfikat wydany na dane spółki nie należy do konkretnego pracownika. To spółka ustala zasady jego przekazywania i używania¹. Oficjalny podręcznik w pkt 2.5.5 rozróżnia te przypadki: zabrania przekazywania certyfikatu osoby fizycznej, a zarządzanie certyfikatami spółki pozostawia spółce⁶.

Pracownik może używać certyfikatu wydanego na NIP spółki. Na wystawionej w ten sposób fakturze KSeF pokaże jednak dane spółki, nie pracownika¹⁰. Firma powinna więc określić w procedurach, kto odpowiada za ten certyfikat, zamiast traktować go jak osobisty certyfikat zatrudnionej osoby.
NIP identyfikujący spółkę, na której dane wydano certyfikat, składa się z 10 cyfr¹¹.

MCU KSeF: generowanie certyfikatu i nadawanie uprawnień

Wnioskowanie o certyfikat w Module Certyfikatów i Uprawnień (MCU) rozpoczęło się 1 listopada 2025 r.¹. Ten etap zakończył się 31 stycznia 2026 r.⁴. Wniosek dotyczy środka uwierzytelnienia, natomiast nadanie uprawnień określa, co osoba lub podmiot może robić w KSeF.

Jak wygenerować i pobrać certyfikat w MCU?

Generowanie certyfikatu w MCU zaczynało się od sprawdzenia kontekstu KSeF. Chodziło o upewnienie się, że użytkownik zalogował się w imieniu właściwego podatnika lub podmiotu⁴. We wniosku podaje się nazwę certyfikatu oraz hasło chroniące klucz prywatny⁴.
Nazwa ma od 5 do 50 znaków. Dopuszczalne są litery bez polskich znaków diakrytycznych, cyfry, spacje oraz znaki „-” i „_”¹². Instrukcja MCU określa ten sam zestaw jako litery bez polskich znaków, cyfry, spacje, myślnik i podkreślenie⁹.

We wniosku można podać datę początku ważności certyfikatu. Ważność liczy się od dnia wydania, gdy nie wskażesz tej daty¹. Po wydaniu pobierz certyfikat wraz z kluczem prywatnym i zachowaj hasło potrzebne do jego użycia.
Certyfikat KSeF jest ważny nie dłużej niż dwa lata od daty początku ważności wskazanej we wniosku².

Jak nadać uprawnienia w KSeF innej osobie lub podmiotowi?

Uprawnienia w KSeF nadaje się osobie lub podmiotowi w kontekście firmy, której faktury mają dotyczyć. Osoba nadająca dostęp ustala, kto będzie działał w imieniu podatnika i jakie zadania wykona.
To odrębna czynność od wydania certyfikatu. Pracownik lub biuro rachunkowe potrzebuje dostępu odpowiedniego do powierzonych zadań, nie tylko pliku certyfikatu. § 3 ust. 1 pkt 2 rozporządzenia wymienia uprawnienia do wystawiania faktur i dostępu do nich; ust. 2–3 wskazują uprawnione osoby oraz podmioty².

Jak odnowić lub unieważnić certyfikat?

Nowy certyfikat KSeF można uzyskać, zanim poprzedni straci ważność. Certyfikat jest ważny maksymalnie 2 lata¹. Wniosek może złożyć także osoba lub podmiot uwierzytelniony ważnym certyfikatem KSeF¹.

Utraconego hasła do klucza prywatnego nie da się odzyskać ani zresetować. Trzeba wygenerować nowy certyfikat¹². Certyfikat, którego nie należy już używać, powinien zostać unieważniony, a nie pozostawiony w obiegu.
Przy wniosku o certyfikat zastępczy trzeba uwzględnić domyślny limit: 6 aktywnych certyfikatów na PESEL lub 100 na NIP⁷.

Jak sprawdzić ważność i status certyfikatu?

Ważność i status certyfikatu KSeF sprawdza się w wykazie dla właściwego kontekstu podatnika. Odczytaj daty i status wybranego certyfikatu, a następnie porównaj je z danymi certyfikatu używanego do uwierzytelniania.
Przed ponownym użyciem ustal przyczynę, gdy certyfikat nie ma statusu „Aktywny”. Utrata hasła wymaga wystąpienia o nowy certyfikat. Oficjalny wykaz przewiduje cztery statusy: aktywny, zablokowany, unieważniony i wygasły⁹.

Certyfikat KSeF w programie księgowym: konfiguracja i błędy

W opisanej integracji programu księgowego certyfikat KSeF wymaga wgrania 3 elementów: pliku.crt, pasującego do niego pliku.key oraz hasła do klucza prywatnego¹². Przy konfiguracji połączenia z API KSeF 2.0 te elementy muszą tworzyć właściwy zestaw.
Wgranie plików nie daje jeszcze uprawnień do wykonywania czynności w KSeF.

Dlaczego KSeF lub program księgowy odrzuca certyfikat?

Gdy KSeF lub program księgowy odrzuca certyfikat, trzeba sprawdzić konfigurację oraz dostęp. Zacznij od ustalenia, czy wgrane pliki stanowią parę i czy hasło dotyczy właściwego klucza prywatnego.
Potem sprawdź status certyfikatu oraz uprawnienia w kontekście firmy, której faktury obsługujesz.

Jak skonfigurować certyfikat w programie do faktur lub księgowym?

Konfiguracja certyfikatu w programie do faktur lub księgowym pozwala uwierzytelnić połączenie z KSeF. Osoba odpowiedzialna za integrację dodaje w ustawieniach poniższe dane:

• Plik.crt wskaż jako plik certyfikatu.
• Plik.key dobierz do wskazanego certyfikatu.
• Hasło podaj dla klucza prywatnego z wybranego pliku.

Po zapisaniu ustawień zweryfikuj połączenie w kontekście właściwego podatnika.

Jaką rolę pełni certyfikat w połączeniu programu z KSeF?

Certyfikat KSeF uwierzytelnia połączenie programu z systemem. Uprawnienia KSeF osobno określają czynności dostępne po uwierzytelnieniu.
Sprawdź zarówno konfigurację certyfikatu, jak i zakres dostępu³, gdy wysłanie lub odebranie faktury się nie udaje.

Certyfikat KSeF a token: wybór i najważniejsze różnice

Token i certyfikat działają w KSeF jako równoległe metody uwierzytelniania do zakończenia obsługi tokenów¹. Certyfikat KSeF różni się od tokenu tym, że nie zawiera uprawnień zadeklarowanych podczas generowania¹⁰.
Przy wyborze metody liczy się sposób zarządzania dostępem oraz termin zakończenia działania tokenów.

Tabela porównuje token i certyfikat KSeF pod względem uprawnień oraz terminu używania.

Dane w tabeli: 1,6,10

Kiedy wybrać token, a kiedy certyfikat?

Certyfikat KSeF będzie odpowiedni dla firmy, która chce korzystać z tej metody także po zakończeniu obsługi tokenów. Token KSeF może jeszcze służyć w istniejącym połączeniu jako rozwiązanie przejściowe przed zmianą metody.
Planując przejście na certyfikat, firma powinna osobno wskazać jego użytkownika i ustalić zakres uprawnień w systemie.

Wniosek, pobranie i dane certyfikatu w KSeF

Według instrukcji pobierania certyfikatów KSeF jednorazowo można wybrać maksymalnie 10 aktywnych certyfikatów¹². Zastosowanie certyfikatu określa się we wniosku, a po jego wydaniu plik pobiera się z listy.

Jak pobrać wydany certyfikat?

Wydany certyfikat KSeF pobiera się z listy po wybraniu pozycji ze statusem „Aktywny”. Pozycji o innym statusie nie można pobrać¹². Pobrany certyfikat ma postać pliku .crt, a zapisany na urządzeniu klucz prywatny – pliku .key¹².
Przy pobieraniu większej liczby aktywnych certyfikatów nadal obowiązuje wspomniany limit jednorazowego wyboru.

Do czego służy certyfikat offline?

Certyfikat offline pozwala opatrzyć fakturę wystawioną w tym trybie linkiem lub kodem QR do weryfikacji tożsamości wystawcy⁴. Odbiorca może użyć tego oznaczenia, aby sprawdzić, kto wystawił fakturę.

Jakie dane zawiera certyfikat online?

Certyfikat online ma w polu CN wyróżnik „uwierzytelnianie”. W certyfikacie o drugim zastosowaniu widnieje tam wyróżnik „offline”⁴. Odczyt pola CN pozwala rozpoznać przeznaczenie pobranego certyfikatu przed jego użyciem.

Najczęściej zadawane pytania

Czy klucz prywatny jest przekazywany do Centrum Certyfikacji KSeF?

Nie. Do certyfikacji trafia klucz publiczny, a klucz prywatny pozostaje u wnioskującego.

Jakiego klucza można użyć we wniosku o certyfikat?

Dokumentacja API dopuszcza klucz RSA o długości 2048 bitów albo klucz EC oparty na krzywej NIST P-256.

Co się stanie, jeśli we wniosku nie wskażę daty początku ważności?

Ważność certyfikatu będzie liczona od dnia jego wydania.

Czy nazwa certyfikatu może zawierać polskie znaki diakrytyczne?

Nie. Nazwa może zawierać litery bez polskich znaków diakrytycznych, cyfry, spacje, myślnik i podkreślenie.

Czy można pobrać certyfikat ze statusem innym niż „Aktywny”?

Nie. Pobranie jest możliwe tylko dla certyfikatów ze statusem „Aktywny”.

Stan prawny na: październik 2026.