Jak wgrać certyfikat KSeF do programu lub aplikacji sklepu
W skrócie: jak wgrać certyfikat KSeF do programu? Potrzebujesz trzech rzeczy z Aplikacji Podatnika: pliku certyfikatu .crt, pliku klucza prywatnego .key i hasła do klucza. Do programu, który ma wysyłać faktury, wgrywasz certyfikat o przeznaczeniu „Uwierzytelnienie w systemie KSeF”. Większość problemów to złe hasło, para plików z dwóch różnych wniosków albo certyfikat, którego data „ważny od” jeszcze nie nadeszła.
Co pobierasz z Aplikacji Podatnika
Jak wygenerować certyfikat, opisujemy krok po kroku w artykule jak wygenerować certyfikat KSeF. Tu zakładamy, że wniosek masz za sobą. Po nim na komputerze powinny być dwa pliki:
| Plik | Skąd się wziął | Co zawiera |
|---|---|---|
nazwa.key |
Zapisał się sam po kliknięciu „Generuj” we wniosku | Klucz prywatny, zabezpieczony Twoim hasłem |
nazwa.crt |
Pobierasz przyciskiem „Pobierz certyfikat” (format PEM) | Certyfikat z kluczem publicznym |
Oba pliki mają w nazwie nazwę certyfikatu, którą wpisałeś we wniosku (Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, rozdz. 5.7). Jeśli pobierzesz kilka certyfikatów naraz, dostaniesz archiwum ZIP o nazwie „Certyfikaty_KSeF_” z datą, które trzeba najpierw rozpakować.
Ważne: z KSeF da się pobrać ponownie tylko certyfikat. Klucza prywatnego KSeF nie przechowuje i nie odda go drugi raz. Bez pliku .key albo bez hasła certyfikat jest bezużyteczny i trzeba złożyć nowy wniosek.
Który certyfikat wgrać
Certyfikaty KSeF są dwóch typów i każdy generuje się osobno (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 1):
- Typ 1, „Uwierzytelnienie w systemie KSeF”. Ten wgrywasz do programu do faktur albo aplikacji sklepu. Program loguje się nim do KSeF i wysyła faktury.
- Typ 2, „Podpis linku weryfikacyjnego wystawcy”. Służy do drugiego kodu QR na fakturach wystawionych w trybie offline i przekazanych nabywcy poza KSeF. Program nie zaloguje się nim do KSeF. Więcej w artykule tryb offline24.
Na „Liście certyfikatów” w Aplikacji Podatnika w kolumnie „Przeznaczenie” sprawdzisz, który jest który. Tam też widać daty „Ważny od” i „Ważny do” oraz status. Pobrać można tylko certyfikat w statusie „Aktywny”.
Jak wgrać certyfikat KSeF do programu: schemat ogólny
Programy różnią się wyglądem, ale proszą zwykle o to samo:
- Otwórz w programie ustawienia połączenia z KSeF (często „KSeF”, „Integracje” albo „Połączenie”).
- Wybierz metodę „certyfikat KSeF” (nie „token” i nie „podpis kwalifikowany”).
- Wskaż plik
.crt. - Wskaż plik
.keyz tego samego wniosku. - Wpisz hasło do klucza, czyli to ustawione przy „Generuj”. Nie jest to hasło do Profilu Zaufanego ani do banku.
- Upewnij się, że program łączy się w kontekście NIP Twojej firmy.
- Zapisz i sprawdź połączenie, jeśli program ma taki przycisk.
Jeśli program prosi o inny format, na przykład jeden plik .pfx albo .p12, sprawdź jego instrukcję. Aplikacja Podatnika wydaje certyfikat w PEM (.crt) i klucz jako osobny plik .key, a zamiana formatu to zadanie po stronie programu albo jego dostawcy.
Przykład: aplikacja KSeF Faktury dla Shopify
W naszej aplikacji robisz to w kroku „Połącz sklep z KSeF”:
- Wybierz „Certyfikat KSeF (zalecane)”.
- W polu „Certyfikat (plik .crt)” dodaj plik certyfikatu.
- W polu „Klucz prywatny (plik .key)” dodaj plik klucza.
- W polu „Hasło do klucza” wpisz hasło. Nie zapisujemy go, służy tylko do odczytania klucza.
- Kliknij „Zapisz i sprawdź połączenie”.
Aplikacja od razu sprawdza pliki i połączenie, a na 30 dni przed końcem ważności certyfikatu przypomina o wymianie. Jak przechowujemy klucz, opisujemy na stronie Bezpieczeństwo.
Najczęstsze błędy przy wgrywaniu
| Objaw | Przyczyna | Co zrobić |
|---|---|---|
| Hasło nie pasuje | Literówka albo hasło z innego wniosku | Spróbuj jeszcze raz. Hasła nie da się zresetować, więc w ostateczności nowy wniosek |
| Klucz nie pasuje do certyfikatu | .crt i .key pochodzą z dwóch różnych wniosków |
Weź parę o tej samej nazwie, z tego samego wniosku |
| Plik nieczytelny | Wgrano .zip, zrzut ekranu albo inny plik |
Rozpakuj archiwum, wgraj właściwe .crt i .key |
| Program nie loguje się do KSeF | Certyfikat typu 2 („Podpis linku weryfikacyjnego wystawcy”) | Wygeneruj certyfikat „Uwierzytelnienie w systemie KSeF” |
| Certyfikat „jeszcze nie działa” | Data „Ważny od” jest w przyszłości | Poczekaj do tej daty albo złóż nowy wniosek z dzisiejszą datą |
| Certyfikat wygasł | Minęły 2 lata ważności | Nowy wniosek i wgranie nowej pary plików |
| Logowanie odrzucone mimo poprawnych plików | Program łączy się w kontekście innego NIP albo osoba, na którą wydano certyfikat, nie ma uprawnień w tej firmie | Sprawdź NIP w programie i uprawnienia w Aplikacji Podatnika |
Ostatni przypadek dotyczy na przykład pracownika albo księgowej. Certyfikat wydany na ich PESEL działa w firmie tylko w granicach uprawnień, które firma im nadała (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5).
Czy przekazywać certyfikat dostawcy programu
To zależy, na kogo wydano certyfikat i jak działa program:
- Program na Twoim komputerze. Certyfikat zostaje u Ciebie.
- Program w chmurze albo aplikacja sklepu. Wgrywasz plik na serwer dostawcy, więc sprawdź, jak go przechowuje (szyfrowanie, gdzie stoi serwer, kto ma dostęp) i jak odłączyć dostęp.
- Nie przekazuj certyfikatu innej osobie. Certyfikat wydany na osobę fizyczną (na przykład w JDG) może używać tylko ona. Księgowej nadajesz uprawnienia, a ona generuje własny certyfikat (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 8). Certyfikat wydany na spółkę spółka może udostępnić wybranym pracownikom i za to odpowiada (pyt. 9).
Zamiast przekazywać własny certyfikat, możesz też nadać uprawnienia w KSeF podmiotowi albo osobie, która obsługuje faktury. Wtedy działa ona swoim środkiem uwierzytelnienia, a Ty możesz w każdej chwili odebrać jej dostęp. Jak to wygląda przy aplikacji sklepu, opisujemy w artykule uprawnienia KSeF dla aplikacji sklepu.
Prostszą alternatywą bez plików jest token KSeF, ale jego zasady po 2026 r. wciąż czekają na zmianę rozporządzenia.
Jak unieważnić certyfikat, gdy rezygnujesz z programu
Usunięcie pliku z programu nie wyłącza certyfikatu w KSeF. Żeby na pewno odciąć dostęp:
- W Aplikacji Podatnika otwórz „Lista certyfikatów”.
- Zaznacz certyfikat (pomoże nazwa, którą nadałeś przy wniosku).
- Kliknij „Unieważnij”, wybierz powód i potwierdź.
Unieważnić możesz tylko własne certyfikaty i tylko pojedynczo (Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, rozdz. 5.7.2.2). Dlatego warto mieć osobny certyfikat dla każdego programu: unieważniasz jeden, a reszta działa dalej.
Najczęstsze pytania
Zgubiłem plik .key. Czy pobiorę go jeszcze raz?
Nie. KSeF nie przechowuje klucza prywatnego. Unieważnij stary certyfikat i złóż nowy wniosek.
Czy jeden certyfikat mogę wgrać do dwóch programów?
Technicznie tak, ale lepiej mieć osobny certyfikat dla każdego programu. Unieważnienie jednego nie zatrzyma wtedy drugiego.
Czy po wgraniu muszę coś robić co jakiś czas?
Tak, wymienić certyfikat przed końcem ważności. Certyfikat KSeF jest ważny najwyżej 2 lata (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 2). Nowy możesz wygenerować najwcześniej miesiąc przed wygaśnięciem najstarszego aktywnego.
Czy do wgrania certyfikatu potrzebuję Profilu Zaufanego?
Nie. Profil Zaufany albo inny sposób logowania jest potrzebny tylko do wygenerowania certyfikatu w Aplikacji Podatnika. Program używa już samego certyfikatu.
Artykuł ma charakter ogólnej informacji i nie jest poradą podatkową.
Źródła
- Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, wersja 2.6 (06.08.2026), rozdz. 5.7, 5.7.2.1, 5.7.2.2
- Podręcznik KSeF 2.0, cz. I (06.08.2026), rozdz. 2.5
- Pytania i odpowiedzi KSeF 2.0: kategoria „Certyfikaty KSeF”, pyt. 1, 2, 8, 9
- Dokumentacja API KSeF 2.0 (CIRFMF): „Certyfikaty KSeF”, „Limity”
- Aplikacja Podatnika KSeF 2.0, MF
Stan prawny na 19 października 2026 r.