Dostęp do KSeF dla firmy i sklepu: certyfikat, token, uprawnienia
W skrócie: uwierzytelnienie w KSeF to odpowiedź na pytanie „kim jesteś i w czyim imieniu działasz”. Osoba loguje się przez login.gov.pl (Profil Zaufany, mObywatel, bank, e-dowód) albo podpisem kwalifikowanym, firma pieczęcią kwalifikowaną, a programy zwykle certyfikatem KSeF albo tokenem. To, co możesz zrobić po zalogowaniu, zależy od uprawnień: JDG ma je od razu, spółka bez pieczęci najpierw składa ZAW-FA.
Ten przewodnik zbiera wszystkie drogi dostępu do KSeF w jednym miejscu. Szczegółowe instrukcje krok po kroku są w osobnych artykułach, do których odsyłamy w kolejnych sekcjach.
KSeF uwierzytelnienie: trzy pojęcia, które warto rozdzielić
W rozmowach o KSeF mieszają się trzy różne rzeczy:
- Metoda uwierzytelnienia, czyli czym potwierdzasz tożsamość: login.gov.pl, podpis, pieczęć, certyfikat KSeF albo token.
- Kontekst, czyli w czyim imieniu działasz. Przy logowaniu wskazujesz identyfikator, zwykle NIP firmy. Księgowa z jednym loginem może pracować w kontekstach wielu klientów (Podręcznik KSeF 2.0, cz. I, rozdz. 2).
- Uprawnienia, czyli co wolno Ci zrobić w tym kontekście: wystawiać faktury, przeglądać je, nadawać uprawnienia innym.
Sam PESEL ani NIP nie wystarczy, żeby ktoś zalogował się w Twoim imieniu. Potrzebna jest jedna z metod uwierzytelnienia (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 27).
Metody wejścia do KSeF
Rozporządzenie w sprawie korzystania z KSeF wymienia cztery metody (§ 6 ust. 1 rozporządzenia MFiG z 12 grudnia 2025 r., Dz.U. 2025 poz. 1815). Piątą jest token, który działa na podstawie przepisu przejściowego (§ 13).
| Metoda | Osoba fizyczna | Spółka i inny podmiot | Gdzie zwykle się jej używa |
|---|---|---|---|
| Węzeł krajowy, czyli login.gov.pl: Profil Zaufany, mObywatel, bankowość elektroniczna, e-dowód | tak | nie | Aplikacja Podatnika KSeF i inne bezpłatne narzędzia MF |
| Kwalifikowany podpis elektroniczny | tak | nie | Aplikacja Podatnika, programy |
| Kwalifikowana pieczęć elektroniczna | nie | tak | Aplikacja Podatnika, programy |
| Certyfikat KSeF | tak | tak | programy i aplikacje połączone z API KSeF 2.0 |
| Token KSeF | tak | tak | programy i aplikacje połączone z API KSeF 2.0 |
Źródło: Podręcznik KSeF 2.0, cz. I, tabela 2. Logowanie przez login.gov.pl działa od 14 lutego 2026 r. Wcześniej Profil Zaufany był osobną metodą, a dziś jest jedną z opcji w ramach login.gov.pl (rozporządzenie zmieniające, Dz.U. 2026 poz. 169). Dla osób fizycznych to bezpłatna droga do KSeF. Logowanie krok po kroku i typowe błędy opisujemy w tekście KSeF przez Profil Zaufany.
Osoba, którą spółka upoważniła do pracy w KSeF, loguje się metodami dla osób fizycznych, na przykład przez login.gov.pl, i wybiera kontekst NIP spółki.
Podpis kwalifikowany a certyfikat KSeF
To dwie różne rzeczy, które w internecie często się myli. Podpis kwalifikowany kupujesz u komercyjnego dostawcy i służy do wielu celów, nie tylko do KSeF. Certyfikat KSeF generujesz bezpłatnie w KSeF i służy tylko do KSeF. Programy i aplikacje łączą się z KSeF zwykle certyfikatem KSeF albo tokenem, a podpis kwalifikowany nie jest do tego potrzebny.
Jeśli Twój podpis kwalifikowany nie zawiera NIP ani PESEL, trzeba go zgłosić w ZAW-FA jako tak zwany odcisk palca podpisu (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 4 i 28). Podpis z NIP albo PESEL działa bez zgłoszenia, także po odnowieniu (pyt. 30).
Certyfikat KSeF: typ 1 i typ 2
Certyfikat KSeF wydaje Centrum Certyfikacji Ministerstwa Finansów. Generujesz go w Aplikacji Podatnika KSeF po zalogowaniu inną metodą. Są dwa rodzaje:
| Typ 1 | Typ 2 | |
|---|---|---|
| Do czego | Logowanie programu do KSeF, wystawianie i pobieranie faktur | Drugi kod QR z napisem „CERTYFIKAT” na fakturze wystawionej w trybie offline |
| Kiedy potrzebny | Gdy program lub aplikacja łączy się z KSeF certyfikatem | Gdy wystawiasz faktury offline24, w czasie niedostępności albo awarii KSeF i przekazujesz je nabywcy przed nadaniem numeru KSeF |
| Przeznaczenie we wniosku | „Uwierzytelnienie w systemie KSeF” | „Podpis linku weryfikacyjnego wystawcy” |
Źródła: FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 1; kategoria „Tryby offline i kody QR”, pyt. 6 i 8; Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.1.
Trzy rzeczy, o których warto pamiętać:
- Każdy typ generujesz osobno. Jeden certyfikat nie może służyć do obu celów (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.1).
- Certyfikat typu 2 nie podpisuje pliku faktury. Służy do wygenerowania kodu QR, który potwierdza tożsamość wystawcy na wizualizacji faktury offline. Faktury przesyłane do KSeF w ogóle nie są podpisywane, bo KSeF działa na zasadzie uwierzytelnienia i uprawnień (FAQ MF, kategoria „KSeF w Jednostkach Samorządu Terytorialnego”, pyt. 69).
- Certyfikatem nie zalogujesz się do Aplikacji Podatnika. Działa tylko w programach połączonych z API KSeF 2.0 (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.1).
Certyfikat jest ważny nie dłużej niż 2 lata od wydania albo od wskazanej daty początkowej i można go odnowić w okresie ważności (§ 6 ust. 2 rozporządzenia). Kto może go dostać:
- osoba fizyczna na swój NIP (na przykład JDG) albo PESEL, jeśli ma jakiekolwiek uprawnienia w KSeF,
- spółka na swój NIP, ale tylko po zalogowaniu pieczęcią kwalifikowaną (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 4).
Osoba wskazana w ZAW-FA wygeneruje certyfikat wyłącznie na siebie, a nie na spółkę (FAQ MF, kategoria „KSeF w Jednostkach Samorządu Terytorialnego”, pyt. 19). Certyfikatu wydanego na osobę fizyczną nie przekazuje się innym, na przykład księgowej (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 8). Certyfikat wydany na spółkę spółka może przekazać wybranym pracownikom i odpowiada za jego kontrolę (pyt. 9).
Instrukcja krok po kroku: jak wygenerować certyfikat KSeF.
Token KSeF: co wiemy na 19 października 2026 r.
Token to ciąg znaków generowany w KSeF, z zapisanymi uprawnieniami. Program, który go zna, wysyła i pobiera faktury bez dodatkowego podpisu (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 22). Tokeny ze starego KSeF 1.0 nie działają w KSeF 2.0 (pyt. 35).
Najważniejsze pytanie brzmi: czy tokeny zostaną po 2026 r. Stan na dziś:
- MF zapowiada, że tak. W FAQ ministerstwo odpowiada, że zdecydowało o pozostawieniu tokenów jako metody uwierzytelnienia i że rozporządzenie zostanie w tym zakresie znowelizowane (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 39).
- Przepis jeszcze tego nie mówi. § 13 ust. 1 pkt 1 rozporządzenia nadal pozwala logować się tokenem do 31 grudnia 2026 r. Jedyna dotychczasowa zmiana rozporządzenia (Dz.U. 2026 poz. 169) dotyczyła innych terminów.
- Zasady mogą się zmienić. W konsultacjach z czerwca 2026 r. MF proponowało, żeby nowe tokeny miały ważność od 1 do 365 dni, z możliwością automatycznego odnawiania.
- Dziś token działa do unieważnienia. Tak opisuje to MF „według aktualnych założeń” (FAQ MF, kategoria „Zagadnienia techniczne”, pyt. 2).
Dwa ograniczenia praktyczne: po zalogowaniu tokenem nie wygenerujesz certyfikatu KSeF (§ 13 ust. 2 rozporządzenia), a token, tak jak certyfikat osobisty, nie powinien trafiać do innej osoby. Szczegóły i instrukcja: token KSeF.
Uprawnienia: kto co może zrobić
Rozporządzenie wymienia uprawnienia do: nadawania i odbierania uprawnień, wystawiania faktur lub dostępu do faktur, samofakturowania przez nabywcę oraz faktur VAT RR (§ 3 ust. 1 rozporządzenia). W Aplikacji Podatnika KSeF zaznaczasz je osobno, więc możesz dać komuś tylko przeglądanie faktur bez prawa ich wystawiania.
| Kto | Jak dostaje uprawnienia | Typowy zakres |
|---|---|---|
| Właściciel JDG | automatycznie, jako uprawnienia właścicielskie | wszystko |
| Spółka z pieczęcią kwalifikowaną | automatycznie, po zalogowaniu pieczęcią | wszystko |
| Osoba wskazana w ZAW-FA | po wprowadzeniu zawiadomienia przez urząd | wszystko, w tym nadawanie dalszych uprawnień |
| Pracownik | nadaje mu właściciel albo administrator, elektronicznie | wystawianie, przeglądanie faktur |
| Księgowa lub biuro rachunkowe | jak wyżej; biuro może dostać prawo do dalszego przekazywania | zwykle przeglądanie faktur, czasem wystawianie |
Źródła: FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 2, 3, 5, 10, 16. Jak nadać dostęp biuru, opisujemy w tekście uprawnienia w KSeF dla księgowej.
A aplikacja sklepu?
KSeF nie nadaje uprawnień programom. Uprawnienia zawsze nadaje się konkretnym osobom albo podmiotom, a nie „systemom” (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 25). Program albo aplikacja sklepu działa więc na Twoim certyfikacie KSeF albo Twoim tokenie i w granicach uprawnień osoby lub firmy, na którą je wydano. Dlatego aplikacja do wystawiania faktur potrzebuje uprawnienia do wystawiania i przeglądania faktur, ale nie do zarządzania uprawnieniami. Więcej w tekście uprawnienia KSeF dla aplikacji sklepu.
JDG kontra spółka: kto nadaje pierwsze uprawnienia
JDG. Przedsiębiorca będący podatnikiem VAT ma w KSeF uprawnienia właścicielskie automatycznie. Nic nie zgłasza ani o nic nie wnioskuje (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 2). Loguje się przez login.gov.pl albo podpisem kwalifikowanym, wybiera kontekst swojego NIP i od razu może nadawać uprawnienia innym. Uprawnień właścicielskich JDG nie da się odebrać.
Spółka z pieczęcią kwalifikowaną z NIP korzysta z uprawnień właścicielskich bez zgłoszeń w urzędzie (pyt. 5).
Spółka bez pieczęci składa zawiadomienie ZAW-FA i wskazuje w nim jedną osobę fizyczną. Ta osoba nie musi być członkiem zarządu (pyt. 19). Potem nadaje kolejne uprawnienia już elektronicznie w KSeF, bez następnych ZAW-FA (pyt. 11 i 21).
Jak złożyć ZAW-FA:
- na papierze, osobiście albo pocztą,
- elektronicznie przez e-Urząd Skarbowy,
- przez e-Doręczenia, z podpisem elektronicznym.
Od 1 stycznia 2026 r. zawiadomienia przez ePUAP nie są skuteczne (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 37 i 38). Zawiadomienie muszą podpisać osoby w liczbie wymaganej do reprezentacji spółki. Uprawnienia z ZAW-FA działają dopiero, gdy urząd je zweryfikuje i wprowadzi, a Ty dostaniesz e-mail z potwierdzeniem. Przy wysyłce pocztą dochodzi czas doręczenia (pyt. 16). Jeśli osoba wskazana w ZAW-FA odejdzie z firmy, a nikt inny nie ma pełnych uprawnień, składasz nowe ZAW-FA (pyt. 12).
Bezpieczeństwo: jak przechowywać i unieważniać
Certyfikat. Dostajesz dwa pliki: certyfikat .crt i klucz prywatny .key, zaszyfrowany Twoim hasłem. Plik .crt pobierzesz ponownie z listy certyfikatów, ale klucza i hasła nie odzyskasz. Rób kopię obu plików w bezpiecznym miejscu i nie wysyłaj klucza i hasła jedną drogą. Jeśli klucz wyciekł, unieważnij certyfikat w Aplikacji Podatnika KSeF (Lista certyfikatów, „Unieważnij”).
Token. Wyświetla się tylko raz, więc od razu wklej go do programu albo menedżera haseł. Kto zna ciąg znaków, ten działa w KSeF w zakresie jego uprawnień. Odebranie uprawnień nie unieważnia tokenu: gdy uprawnienia wrócą, token znów zadziała. Żeby na pewno odciąć dostęp, unieważnij sam token (Lista tokenów, „Unieważnij”).
Uprawnienia. Raz na kwartał przejrzyj w „Zarządzaj uprawnieniami”, kto ma dostęp do Twojego KSeF. Odbierz uprawnienia byłym pracownikom i biurom, z którymi już nie współpracujesz.
Aplikacje. Sprawdzaj, jak dostawca przechowuje Twój certyfikat albo token i jak go odłączyć. W KSeF Faktury dla Shopify przyjmujemy oba sposoby połączenia, a zalecamy certyfikat, bo nie zależy od zmian w zasadach tokenów. Jak go przechowujemy, opisujemy na stronie Bezpieczeństwo.
Schemat decyzji: co wybrać
| Twoja sytuacja | Do logowania w Aplikacji Podatnika | Do programu lub aplikacji sklepu |
|---|---|---|
| JDG, kilka faktur miesięcznie, wystawiasz ręcznie | login.gov.pl | niepotrzebne |
| JDG ze sklepem internetowym | login.gov.pl | certyfikat KSeF typu 1 (albo token) |
| Spółka z pieczęcią kwalifikowaną | pieczęć | certyfikat KSeF na spółkę |
| Spółka bez pieczęci | osoba z ZAW-FA przez login.gov.pl | certyfikat KSeF tej osoby albo token |
| Księgowa obsługująca wielu klientów | własny login.gov.pl, kontekst klienta | własny certyfikat albo token w kontekście klienta |
| Wystawiasz faktury offline i przekazujesz je klientom przed nadaniem numeru KSeF | jak wyżej | dodatkowo certyfikat KSeF typu 2 |
Najprostsza droga dla małego sklepu: zaloguj się raz przez login.gov.pl, wygeneruj certyfikat KSeF typu 1, wgraj go do programu albo aplikacji sklepu i zapisz w kalendarzu datę jego wygaśnięcia.
Najczęstsze pytania
Czy muszę kupić podpis kwalifikowany, żeby korzystać z KSeF?
Nie, jeśli jesteś osobą fizyczną. Bezpłatne logowanie przez login.gov.pl (Profil Zaufany, mObywatel, bank, e-dowód) wystarczy do Aplikacji Podatnika KSeF, a do programów możesz wygenerować bezpłatny certyfikat KSeF. Spółka bez pieczęci kwalifikowanej działa przez osobę wskazaną w ZAW-FA.
Czy certyfikat KSeF i token mogą działać jednocześnie?
Tak, obie metody działają równolegle (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 3).
Czy tokeny przestaną działać 1 stycznia 2027 r.?
MF zapowiada, że nie (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 39), ale rozporządzenie wciąż wskazuje 31 grudnia 2026 r. i na 19 października 2026 r. nie zostało zmienione. Sprawdź w grudniu, czy nowelizacja została opublikowana.
Czy zmiana uprawnień unieważnia certyfikat?
Nie. Certyfikat pozostaje ważny, zmienia się tylko to, co możesz zrobić w danym kontekście (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 10).
Czy księgowa musi zakładać konto w KSeF?
Nie. Wystarczy, że uwierzytelni się jedną z dopuszczalnych metod i ma od Ciebie uprawnienia (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 8).
Artykuł ma charakter ogólnej informacji i nie jest poradą podatkową.
Źródła
- Krok po kroku: JDG i MŚP (ksef.podatki.gov.pl)
- Pytania i odpowiedzi KSeF 2.0 (ksef.podatki.gov.pl): kategoria „Uprawnienia i autoryzacja”, pyt. 2-5, 8, 10-12, 16, 19, 21, 22, 25, 27, 28, 30, 35, 37-39; kategoria „Certyfikaty KSeF”, pyt. 1, 3, 4, 8-10; kategoria „Tryby offline i kody QR”, pyt. 6 i 8; kategoria „KSeF w Jednostkach Samorządu Terytorialnego”, pyt. 19 i 69; kategoria „Zagadnienia techniczne”, pyt. 2
- Podręcznik KSeF 2.0, cz. I: rozpoczęcie korzystania z KSeF (06.08.2026), rozdz. 2, 2.1, 2.5.1, tabela 2
- Rozporządzenie MFiG z 12 grudnia 2025 r. w sprawie korzystania z KSeF, Dz.U. 2025 poz. 1815 (eli.gov.pl), § 3, 6, 13; zmiana: Dz.U. 2026 poz. 169
- Pierwsze konsultacje po częściowym wdrożeniu KSeF: podsumowanie (ksef.podatki.gov.pl), MF, 11.06.2026
- Aplikacja Podatnika KSeF 2.0 (ksef.podatki.gov.pl)
Stan prawny na 19 października 2026 r.