Jak bezpiecznie przekazać certyfikat KSeF programowi

Certyfikat, token i uprawnienia · Aktualizacja: 2026-10-19

W skrócie: certyfikat KSeF razem z kluczem prywatnym i hasłem działa jak klucze do firmy w KSeF. Kto je ma, może wystawiać faktury w Twoim imieniu, czytać faktury sprzedażowe i zakupowe, a nawet wnioskować o kolejny certyfikat. Bezpieczeństwo certyfikatu KSeF to w praktyce pięć zasad: najmniejsze możliwe uprawnienia, osobny dostęp dla każdego programu, porządne przechowywanie plików, regularny przegląd i szybkie unieważnienie, gdy coś pójdzie nie tak.

Certyfikat KSeF i bezpieczeństwo: co da się zrobić cudzym dostępem

Certyfikat KSeF jest elektronicznym poświadczeniem tożsamości, podobnie jak certyfikat kwalifikowany (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.5). Nie niesie w sobie uprawnień: działa ze wszystkimi uprawnieniami osoby, która go wygenerowała, i nie jest przypisany do jednego NIP. Token działa inaczej: ma tylko uprawnienia zaznaczone przy generowaniu i tylko w jednym kontekście (Podręcznik KSeF 2.0, cz. I, tabela 3).

Dwie rzeczy łatwo przeoczyć. Po pierwsze, odebranie uprawnień nie unieważnia ani certyfikatu, ani tokenu (Podręcznik KSeF 2.0, cz. I, tabela 3). Po drugie, faktury przyjętej przez KSeF nie da się usunąć. Fałszywą fakturę sprzedaży wystawioną z Twojego dostępu trzeba będzie skorygować, a jej skutki podatkowe omówić z doradcą.

Samo poznanie Twojego PESEL czy NIP nikomu nie wystarczy do zalogowania. Potrzebny jest Profil Zaufany, podpis lub pieczęć kwalifikowana, token albo certyfikat KSeF (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 27). Dlatego to właśnie te środki trzeba chronić.

Zasada minimalnych uprawnień

Aplikacja sklepu, która wystawia faktury, potrzebuje uprawnienia do wystawiania faktur. Przeglądanie faktur daje wgląd we wszystkie faktury firmy, więc dawaj je tylko wtedy, gdy dostawca wyjaśni, do czego go używa. Zarządzania uprawnieniami nie potrzebuje żadna aplikacja sklepu. Tabelę uprawnień dla poszczególnych operacji znajdziesz w artykule uprawnienia KSeF dla integracji sklepu.

W praktyce masz trzy bezpieczne układy:

1. Token z samym wystawianiem faktur, osobny dla każdej aplikacji. Liczba tokenów nie jest ograniczona, więc każdy program może mieć własny, który unieważnisz bez ruszania pozostałych.
2. Certyfikat osoby z wąskimi uprawnieniami. Nadajesz np. pracownikowi tylko wystawianie faktur w Twoim NIP, a on generuje certyfikat do programu. Program nie dostaje wtedy Twoich uprawnień właścicielskich.
3. Certyfikat spółki, który nie jest powiązany z konkretną osobą. Spółka może przekazać go pracownikom, ale odpowiada za rejestrację, kontrolę i unieważnianie (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 9).

Czego nie robić: certyfikatu wydanego na osobę fizyczną nie wolno udostępniać innej osobie, np. księgowej (tamże, pyt. 8), a tokenem może posługiwać się tylko osoba, która go wygenerowała (Podręcznik KSeF 2.0, cz. I, rozdz. 2.4.4). Księgowej nadajesz osobne uprawnienia.

Jak przechowywać plik certyfikatu, klucz i hasło

Przy generowaniu certyfikatu w Aplikacji Podatnika powstają dwa pliki: certyfikat i klucz prywatny .key, chroniony hasłem od 15 do 32 znaków. Klucz zapisuje się tylko na Twoim urządzeniu. Z KSeF pobierzesz ponownie sam certyfikat, ale klucza prywatnego nie odzyskasz, a hasła nie da się zresetować (Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, rozdz. 5.7). Token Aplikacja Podatnika pokazuje tylko raz.

Zasady, które polecamy:

• generuj certyfikat na komputerze firmowym, a nie na cudzym czy publicznym,
• hasło trzymaj w menedżerze haseł, nigdy w tym samym folderze co plik .key,
• nie wysyłaj certyfikatu, klucza i hasła jednym mailem ani na wspólny czat; jeśli wgrywasz je do programu, rób to sam, bez pośredników,
• po wgraniu do programu usuń kopie z folderu „Pobrane” i z załączników,
• zapisz w kalendarzu datę końca ważności certyfikatu,
• prowadź prostą listę: który certyfikat lub token, w jakim programie, kto go wygenerował.

Jak wgrać pliki do programu, opisujemy w artykule jak wgrać certyfikat KSeF do programu.

Szyfrowanie i serwery: pytania do dostawcy

Zanim przekażesz dostęp programowi, zapytaj, czy certyfikat, klucz i token są szyfrowane i gdzie leży klucz szyfrujący, czy hasło do klucza jest zapisywane, w jakim kraju stoją serwery i co dzieje się z danymi po odłączeniu aplikacji. Przy wtyczkach instalowanych na własnym serwerze (np. WordPress) odpowiedzialność za kopie zapasowe i ochronę plików przechodzi na Ciebie. Przykład z naszej strony: w KSeF Faktury dla Shopify certyfikat lub token trzymamy zaszyfrowane AES-256 na serwerach w UE, a szczegóły opisujemy na stronie Bezpieczeństwo.

Przegląd i unieważnianie

Raz na kwartał zajrzyj do Aplikacji Podatnika KSeF:

1. „Lista certyfikatów” i „Lista tokenów”: czy znasz każdy wpis i czy wszystkie są jeszcze potrzebne.
2. „Historia sesji”: ile faktur wysłano i odrzucono w poszczególnych sesjach. Nieznane sesje to sygnał alarmowy.
3. Lista faktur sprzedażowych: czy nie ma faktur, których nie wystawiałeś.

Gdy podejrzewasz wyciek, działaj w tej kolejności:

1. Unieważnij certyfikat: „Lista certyfikatów”, „Unieważnij”, powód „Bezpieczeństwo klucza prywatnego związane z certyfikatem zostało naruszone”. Unieważnić można tylko własny certyfikat, więc robi to osoba, na którą go wydano.
2. Unieważnij tokeny wygenerowane w tym czasie, także te, których nie rozpoznajesz.
3. Sprawdź, czy ktoś nie wnioskował o nowe certyfikaty, i unieważnij je.
4. Przejrzyj uprawnienia nadane w Twoim NIP i odbierz zbędne.
5. Wygeneruj nowy dostęp dla programu i wgraj go ponownie.
6. Przejrzyj faktury z okresu wycieku i ustal z księgową korekty.

Fałszywą fakturę zakupową, która pojawi się na Twój NIP, możesz zgłosić z ekranu jej podglądu przyciskiem „Zgłoszenie nadużycia” (Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, rozdz. 5.3.3; FAQ MF, kategoria „Rozwiązania informatyczne, integracje i struktura KSeF”, pyt. 26).

RODO na fakturze

Na fakturach są dane osobowe: imiona i nazwiska właścicieli JDG, adresy, czasem dane konsumentów. Program do faktur, który przetwarza je w Twoim imieniu, jest podmiotem przetwarzającym i powinien działać na podstawie umowy powierzenia (art. 28 RODO). Ty jako administrator masz obowiązek zapewnić odpowiednie zabezpieczenia (art. 32 RODO). Jeśli dojdzie do naruszenia ochrony danych osobowych, na przykład wycieku plików z fakturami, zgłaszasz je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że naruszenie jest mało prawdopodobne, by powodowało ryzyko dla osób (art. 33 RODO).

Najczęstsze pytania

Co jest bezpieczniejsze: token czy certyfikat?

Token można zawęzić do jednego uprawnienia i jednej firmy. Certyfikat działa ze wszystkimi uprawnieniami właściciela, ale ma termin ważności. Dla aplikacji sklepu najbezpieczniejszy jest token z samym wystawianiem faktur albo certyfikat osoby z wąskimi uprawnieniami. Porównanie: token czy certyfikat KSeF.

Czy po odebraniu uprawnień certyfikat przestaje działać?

Certyfikat pozostaje ważny, ale działa tylko w granicach bieżących uprawnień. Żeby mieć pewność, unieważnij sam certyfikat.

Zgubiłem plik klucza prywatnego. Co teraz?

Klucza nie odzyskasz z KSeF. Unieważnij certyfikat, wygeneruj nowy i wgraj go do programu.

Czy mogę dać księgowej swój certyfikat?

Nie, jeśli jest wydany na Ciebie jako osobę fizyczną (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 8). Nadaj jej uprawnienia: uprawnienia KSeF dla księgowej.

Artykuł ma charakter ogólnej informacji i nie jest poradą podatkową.

Źródła

• Podręcznik KSeF 2.0, cz. I (06.08.2026), rozdz. 2.4.4, 2.5.5, 2.5.6, tabela 3
• Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, wersja 2.6, rozdz. 5.3.3, 5.4, 5.6, 5.7
• Pytania i odpowiedzi KSeF 2.0, Ministerstwo Finansów: kategoria „Certyfikaty KSeF”, pyt. 2, 8, 9, 11; kategoria „Uprawnienia i autoryzacja”, pyt. 27; kategoria „Zagadnienia techniczne”, pyt. 2; kategoria „Rozwiązania informatyczne, integracje i struktura KSeF”, pyt. 26
• Dokumentacja API KSeF 2.0: certyfikaty KSeF (MF, GitHub)
• Rozporządzenie (UE) 2016/679 (RODO), art. 28, 32, 33

Stan prawny na 19 października 2026 r.