Jak wygenerować certyfikat KSeF: instrukcja krok po kroku
W skrócie: Certyfikat KSeF generujesz sam w bezpłatnej Aplikacji Podatnika KSeF: logujesz się, tworzysz klucz z hasłem, wysyłasz wniosek i pobierasz certyfikat. Dostajesz dwa pliki, klucz prywatny .key i certyfikat .crt, które razem z hasłem wgrywasz do programu do faktur albo aplikacji sklepu. Certyfikat jest ważny najwyżej 2 lata, a zgubionego klucza ani hasła nie da się odzyskać.
Do czego służy certyfikat KSeF
Certyfikat KSeF wydaje Centrum Certyfikacji Ministerstwa Finansów. Są dwa rodzaje i każdy generuje się osobno:
| Rodzaj | Do czego | Jak go wybrać we wniosku |
|---|---|---|
| Typ 1, uwierzytelnienie | Logowanie programu do KSeF i wysyłanie faktur | „Uwierzytelnienie w systemie KSeF” |
| Typ 2, offline | Drugi kod QR na fakturze wystawionej w trybie offline | „Podpis linku weryfikacyjnego wystawcy” |
Nie da się wygenerować jednego certyfikatu do obu zastosowań (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.1). Program do faktur albo aplikacja sklepu potrzebuje zwykle certyfikatu typu 1.
Ważne: certyfikatem KSeF nie zalogujesz się do samej Aplikacji Podatnika. Służy do programów zintegrowanych z API KSeF 2.0.
Kto może wygenerować certyfikat
- osoba prowadząca JDG, na swój NIP,
- osoba fizyczna, na swój PESEL, jeśli ma jakiekolwiek uprawnienia w KSeF (na przykład pracownik albo księgowa),
- spółka, na swój NIP, po zalogowaniu pieczęcią kwalifikowaną.
Źródło: FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 4. O tym, na jaki identyfikator zostanie wydany certyfikat, decyduje metoda logowania i zawarty w niej identyfikator (NIP albo PESEL). U osoby fizycznej KSeF uwzględnia powiązanie NIP z PESEL, więc certyfikat działa w ramach uprawnień nadanych na oba numery.
Certyfikat z danymi osoby fizycznej jest osobisty. MF nie pozwala przekazywać go innej osobie, na przykład księgowej (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 8). Księgowej nadajesz osobne uprawnienia w KSeF.
Co przygotować
- dostęp do logowania przez login.gov.pl (Profil Zaufany, mObywatel, bankowość elektroniczna, e-dowód) albo podpis kwalifikowany,
- NIP firmy,
- miejsce na dysku, gdzie zapiszesz dwa pliki,
- hasło do klucza zapisane w menedżerze haseł,
- około 10 minut.
Krok po kroku w Aplikacji Podatnika KSeF
Nazwy przycisków i pól podajemy za Podręcznikiem użytkownika Aplikacji Podatnika KSeF 2.0 (wersja 2.6, sierpień 2026). Wygląd ekranów może się nieco różnić po aktualizacjach.
1. Zaloguj się
Wejdź na ap.ksef.mf.gov.pl. Wybierz „Zaloguj przez login.gov.pl” albo „Zaloguj certyfikatem” (certyfikat kwalifikowany). Następnie wskaż kontekst: jako identyfikator wybierz NIP podmiotu, wpisz NIP firmy i kliknij „Przejdź dalej”. Potwierdź tożsamość.
Przy podpisie kwalifikowanym aplikacja każe pobrać „żądanie autoryzacyjne”, podpisać je i wgrać z powrotem jako plik .xml albo .xades.
2. Otwórz wniosek o certyfikat
W menu po lewej stronie wybierz „Wnioskuj o certyfikat”. Ten sam wniosek otworzysz z „Listy certyfikatów” przyciskiem „Wnioskuj o certyfikat”.
3. Wpisz nazwę certyfikatu
W polu „Nazwa certyfikatu” wpisz nazwę, po której rozpoznasz certyfikat na liście. Pod tą nazwą zapiszą się też oba pliki. Zasady: od 5 do 100 znaków, polskie litery, cyfry, spacje oraz znaki - i _.
Dobra nazwa mówi, gdzie certyfikat będzie użyty i od kiedy, na przykład Sklep faktury 2026-11. Przy kilku programach łatwiej wtedy unieważnić właściwy.
4. Ustaw hasło do klucza
W polu „Hasło” i „Powtórz hasło” ustaw hasło, które chroni klucz prywatny. Hasło musi mieć:
- od 15 do 32 znaków,
- wielką i małą literę bez polskich znaków,
- cyfrę,
- jeden ze znaków specjalnych
! @ # $ % ^ & * ( ) - _ = +.
Hasła nie da się zresetować. Zapisz je od razu w menedżerze haseł.
5. Wygeneruj klucz
Kliknij „Generuj”. Aplikacja tworzy parę kluczy i od razu zapisuje klucz prywatny na Twoim komputerze jako plik .key (na przykład Sklep faktury 2026-11.key). Sprawdź folder pobranych plików, zanim pójdziesz dalej.
6. Wybierz przeznaczenie i datę
Na ekranie „Przesłanie wniosku”:
- w polu „Przeznaczenie certyfikatu” wybierz „Uwierzytelnienie w systemie KSeF” (do programu lub aplikacji sklepu) albo „Podpis linku weryfikacyjnego wystawcy” (do faktur offline),
- w polu „Certyfikat ważny od” wskaż datę początku ważności. Certyfikat będzie ważny 2 lata od tej daty. Przed nią nie da się go użyć.
Kliknij „Wyślij wniosek o wydanie certyfikatu”.
7. Pobierz certyfikat
Aplikacja pokaże ekran realizacji. Kliknij „Odśwież”, aż pojawi się informacja o wydaniu certyfikatu. Wtedy kliknij „Pobierz certyfikat”. Zapisze się plik .crt w formacie PEM.
Jeśli zamkniesz ten ekran, nic straconego: certyfikat pobierzesz później z „Listy certyfikatów” (zaznacz go i wybierz „Pobierz certyfikat”, format PEM). Pobrać można tylko certyfikat w statusie „Aktywny”.
Pliki .crt i .key: co to jest i gdzie je trzymać
| Plik | Co zawiera | Czy da się pobrać ponownie |
|---|---|---|
.crt |
Certyfikat z kluczem publicznym i Twoimi danymi | Tak, z Listy certyfikatów |
.key |
Klucz prywatny zaszyfrowany Twoim hasłem | Nie, istnieje tylko u Ciebie |
MF zaznacza wprost, że klucz prywatny posiada wyłącznie użytkownik i nie da się go odzyskać z KSeF. Bez klucza ponownie pobrany .crt jest bezużyteczny (Podręcznik użytkownika, rozdz. 5.7.2.1). Dlatego:
- zrób kopię obu plików w bezpiecznym miejscu, na przykład zaszyfrowanym dysku,
- nie wysyłaj klucza i hasła tą samą drogą, na przykład w jednym mailu,
- jeśli klucz wyciekł, od razu unieważnij certyfikat.
Ważność i odnowienie
Certyfikat KSeF jest ważny nie dłużej niż 2 lata od daty wydania albo od daty początkowej wskazanej we wniosku (§ 6 ust. 2 rozporządzenia w sprawie korzystania z KSeF; FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 2). Przykład z podręcznika MF: wniosek złożony 15 lutego 2026 r. z datą początkową 1 marca 2026 r. daje certyfikat ważny 2 lata od 1 marca 2026 r.
Odnowienie to po prostu nowy wniosek. MF zaleca ustawić w nim datę początku ważności na dzień po wygaśnięciu obecnego certyfikatu. Nowy certyfikat można dostać najwcześniej miesiąc przed upływem ważności najstarszego aktywnego (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.6). Wpisz datę końca do kalendarza z wyprzedzeniem, bo po wygaśnięciu program przestanie wysyłać faktury.
Są też limity. Na PESEL można mieć 6 aktywnych certyfikatów i 6 nowych czekających na swoją kolej, na NIP osoby fizycznej 100 i 100. Dla małej firmy to w praktyce bez znaczenia.
Zmiana uprawnień nie unieważnia certyfikatu. Księgowa, której jeden klient odebrał dostęp, nadal ma ważny certyfikat do pracy dla pozostałych (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 10).
Jak wgrać certyfikat do programu albo aplikacji sklepu
Każdy program prosi zwykle o to samo: plik .crt, plik .key i hasło do klucza. W aplikacji KSeF Faktury dla Shopify robisz to w kroku „Połącz sklep z KSeF”: dodajesz certyfikat i klucz, wpisujesz hasło i klikasz „Zapisz i sprawdź połączenie”. Hasła nie zapisujemy, służy tylko do odczytania klucza. Jak przechowujemy certyfikat, opisujemy na stronie Bezpieczeństwo, a cały proces na stronie głównej w sekcji Jak to działa.
Jak unieważnić certyfikat
Na „Liście certyfikatów” zaznacz certyfikat, kliknij „Unieważnij”, wybierz powód i potwierdź przyciskiem „Unieważnij certyfikat”. Dostępne powody to zastąpienie nowym certyfikatem, naruszenie bezpieczeństwa klucza prywatnego albo powód nieokreślony. Certyfikat dostanie status „Zablokowany” (unieważnianie w toku) albo od razu „Unieważniony”. Unieważnić możesz tylko własne certyfikaty, pojedynczo.
Najczęstsze błędy
| Problem | Przyczyna | Co zrobić |
|---|---|---|
| Program odrzuca hasło | Literówka albo inne hasło niż przy generowaniu | Hasła nie da się odzyskać: unieważnij certyfikat i wygeneruj nowy |
Nie ma pliku .key |
Przeglądarka zablokowała pobieranie albo plik usunięto | Klucza nie da się odzyskać: nowy wniosek |
| Program nie łączy się z KSeF | Wybrano przeznaczenie „Podpis linku weryfikacyjnego wystawcy” | Do logowania programu potrzebny jest certyfikat „Uwierzytelnienie w systemie KSeF” |
| Certyfikat nie działa mimo wydania | Data „Certyfikat ważny od” jest w przyszłości | Poczekaj do tej daty albo złóż nowy wniosek z dzisiejszą datą |
| Faktury przestały wychodzić | Certyfikat wygasł | Nowy wniosek i wgranie nowych plików |
| Nie widać faktur firmy | Logowanie w złym kontekście albo brak uprawnień na Twój PESEL | Zaloguj się w kontekście NIP firmy, sprawdź uprawnienia |
Pytania i odpowiedzi
Ile kosztuje certyfikat KSeF?
Wniosek składasz w bezpłatnej Aplikacji Podatnika KSeF. Ministerstwo nie wymaga do tego płatnego programu.
Certyfikat czy token?
Oba działają równolegle (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 3). Token działa dziś do unieważnienia (MF rozważa ważność 1-365 dni), ma zapisane uprawnienia i działa tylko w jednym kontekście. Porównanie znajdziesz w artykule o tokenie KSeF.
Czy mogę mieć kilka certyfikatów?
Tak, w ramach limitów. Warto mieć osobny certyfikat dla każdego programu, żeby unieważnić jeden bez wyłączania pozostałych.
Jestem JDG. Czy księgowa może użyć mojego certyfikatu?
Nie. Certyfikat wydany na osobę fizyczną może używać tylko ta osoba. Księgowej nadaj uprawnienia w KSeF, a ona wygeneruje własny certyfikat. Zobacz też KSeF w JDG krok po kroku.
Źródła
- Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, wersja 2.6, sierpień 2026, rozdz. 4.1, 5.1, 5.7
- Podręcznik KSeF 2.0, cz. I: rozpoczęcie korzystania z KSeF (06.08.2026), rozdz. 2.5
- Pytania i odpowiedzi KSeF 2.0: kategoria „Certyfikaty KSeF”, pyt. 1-4, 7, 8, 10
- Rozporządzenie MFiG z 12 grudnia 2025 r. w sprawie korzystania z KSeF, Dz.U. 2025 poz. 1815, § 6, zmienione Dz.U. 2026 poz. 169
- Aplikacja Podatnika KSeF 2.0, Ministerstwo Finansów
Stan prawny na 19 października 2026 r.
Artykuł ma charakter ogólnej informacji i nie jest poradą podatkową.