Kontekst w KSeF: jak wybrać właściwy i co znaczą błędy kontekstu
W skrócie: w KSeF kontekst logowania to identyfikator firmy, w imieniu której chcesz działać, najczęściej jej NIP. Podajesz go przy każdym logowaniu, obok swojej metody uwierzytelnienia. Jeśli w tym kontekście nie masz uprawnień, KSeF Cię nie wpuści, nawet gdy Twój podpis albo Profil Zaufany jest w porządku.
KSeF: kontekst logowania, czyli w czyim imieniu działasz
Logując się do KSeF, odpowiadasz na dwa pytania: kim jesteś i dla kogo pracujesz. Na pierwsze odpowiada metoda uwierzytelnienia, czyli Profil Zaufany, podpis kwalifikowany, certyfikat KSeF albo token. Na drugie odpowiada kontekst. Podręcznik MF opisuje to tak: każda sesja odbywa się w określonym kontekście logowania, a przy uwierzytelnieniu trzeba zadeklarować identyfikator, w imieniu którego będziesz wykonywać działania (Podręcznik KSeF 2.0, cz. I, rozdz. 2, „Pojęcie kontekstu uwierzytelnienia”).
Kontekstem może być:
| Kontekst | Kiedy |
|---|---|
| NIP podmiotu | prawie zawsze: JDG, spółka, fundacja |
| Identyfikator wewnętrzny (IDWew) | oddział lub jednostka wewnętrzna firmy, która działa na NIP firmy matki |
| Identyfikator złożony NIP-VAT UE | samofakturowanie z firmą z innego kraju UE |
| Identyfikator brokera Peppol | dostawcy usług Peppol |
W Aplikacji Podatnika KSeF po wyborze sposobu logowania pojawia się ekran, na którym wybierasz typ identyfikatora (NIP podmiotu, identyfikator wewnętrzny albo identyfikator złożony), wpisujesz numer i klikasz „Przejdź dalej” (Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, wersja 2.6, rozdz. 4.1). Po zalogowaniu identyfikator kontekstu widać w prawym górnym rogu ekranu.
Kontekst NIP czy PESEL w JDG
To najczęstsze nieporozumienie. PESEL nie jest kontekstem. PESEL (albo NIP zapisany w podpisie) mówi, kim jesteś. Kontekstem w JDG jest NIP firmy.
Przykład z podręcznika MF: Jan Kowalski prowadzi JDG z NIP 9999999999 i chce wystawić fakturę. Loguje się w kontekście NIP 9999999999, a jako metodę może wybrać podpis kwalifikowany z NIP albo Profil Zaufany powiązany z PESEL (Podręcznik KSeF 2.0, cz. I, przykład 1). Jeśli fakturę za Jana wystawia pracownica, ona też wpisuje kontekst NIP 9999999999, a loguje się własnym podpisem z PESEL (przykład 2).
Więcej o logowaniu bez podpisu znajdziesz w artykule KSeF przez Profil Zaufany.
Spółka: kontekst zawsze z NIP spółki
Pracownik spółki, księgowa albo członek zarządu podaje jako kontekst NIP spółki, a loguje się swoją metodą dla osoby fizycznej (Profil Zaufany, podpis, certyfikat KSeF, token). Tak samo, gdy spółka loguje się własną pieczęcią kwalifikowaną: kontekstem jest NIP spółki (Podręcznik KSeF 2.0, cz. I, przykład 3). Kto daje osobie dostęp do spółki, opisujemy w artykule pieczęć kwalifikowana a KSeF.
Biuro rachunkowe i wielu klientów
Księgowa, która obsługuje trzy firmy, loguje się trzy razy w trzech kontekstach: raz z NIP firmy X, raz z NIP firmy Y, raz z NIP firmy Z. W każdym kontekście ma tylko te uprawnienia, które dała jej dana firma. Jedna firma mogła dać wystawianie i przeglądanie faktur, inna tylko nadawanie uprawnień (Podręcznik KSeF 2.0, cz. I, przykład 4).
Jak przełączyć się na innego klienta w Aplikacji Podatnika? W podręczniku aplikacji (wersja 2.6) nie znaleźliśmy osobnej funkcji zmiany kontekstu. Kontekst wybiera się przy logowaniu, więc żeby pracować dla innej firmy, wyloguj się (przycisk z identyfikatorem kontekstu w prawym górnym rogu, „Wyloguj”) i zaloguj ponownie z jej NIP. Programy księgowe zwykle robią to w tle, osobno dla każdego klienta.
Firma może też nadać uprawnienie całemu biuru jako podmiotowi i pozwolić mu przekazywać je dalej pracownikom (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 10). Szczegóły w artykule uprawnienia w KSeF dla księgowej.
Błędy kontekstu: co znaczą i co z nimi zrobić
Komunikaty w Aplikacji Podatnika mogą brzmieć różnie. Poniżej podajemy statusy, które KSeF zwraca programom przy logowaniu przez API, bo to je najczęściej widzisz w programie do faktur albo w aplikacji sklepu (dokumentacja API KSeF 2.0, specyfikacja OpenAPI, status uwierzytelnienia):
| Status KSeF | Co znaczy | Co zrobić |
|---|---|---|
| 415 „Uwierzytelnianie zakończone niepowodzeniem”, „Brak przypisanych uprawnień” | logujesz się poprawnie, ale w tym kontekście nie masz żadnych uprawnień | sprawdź, czy wpisano właściwy NIP; poproś właściciela firmy o nadanie uprawnień |
| 450, „Token nie może być użyty w kontekście …” | token wygenerowano dla innej firmy | wygeneruj token w kontekście właściwego NIP albo przejdź na certyfikat KSeF |
| 450, „Token unieważniony” albo „Token nieaktywny” | token został unieważniony lub jeszcze nie działa | wygeneruj nowy token |
| 460, np. „Certyfikat odwołany”, „Nieważny certyfikat” | problem z certyfikatem, nie z kontekstem | sprawdź datę ważności, wygeneruj nowy certyfikat |
Najczęstsze przyczyny problemów z kontekstem w praktyce:
- literówka w NIP albo NIP z kreskami, spacjami lub prefiksem PL; wpisuj same 10 cyfr,
- NIP księgowej zamiast NIP klienta: księgowa loguje się w kontekście firmy, którą obsługuje, a nie własnego biura,
- uprawnienia jeszcze nie działają: przy ZAW-FA urząd musi je najpierw wprowadzić, a Ty dostajesz e-mail z potwierdzeniem (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 16),
- uprawnienia odebrane: osoba, która je nadała, mogła je zmienić.
Kontekst a certyfikat i token w aplikacji sklepu
Token i certyfikat KSeF zachowują się różnie:
- Token działa tylko w kontekście, w którym go wygenerowano, na przykład tylko dla NIP Twojej firmy (Podręcznik KSeF 2.0, cz. I, rozdz. 2.4). Do każdej firmy potrzebny jest osobny token.
- Certyfikat KSeF nie jest przypisany do żadnego kontekstu. To dowód tożsamości osoby albo firmy, a KSeF przy logowaniu sprawdza, jakie uprawnienia ta osoba ma w podanym kontekście (dokumentacja API KSeF 2.0, „Certyfikaty KSeF”; FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 10). Ten sam certyfikat księgowej zadziała u wszystkich jej klientów.
Program, który wysyła faktury, podaje kontekst w każdym logowaniu. Aplikacja sklepu wysyła faktury jako sprzedawca, więc logujemy się zawsze w kontekście NIP sklepu. Tak działa też KSeF Faktury dla Shopify: certyfikat albo token łączymy z NIP firmy, który podajesz w ustawieniach. Jeśli zmienisz NIP w ustawieniach, trzeba ponownie zadbać o uprawnienia w KSeF dla nowej firmy. Inaczej KSeF nie wpuści programu: przy certyfikacie zwykle zobaczysz status 415, przy tokenie wygenerowanym dla starej firmy status 450.
Porównanie tokenu i certyfikatu znajdziesz w artykule token czy certyfikat KSeF.
Pytania i odpowiedzi
Co wpisać jako kontekst, jeśli prowadzę JDG?
NIP swojej firmy. PESEL może być w Twoim Profilu Zaufanym albo podpisie, ale kontekstem jest NIP.
Czy mogę mieć różne uprawnienia w różnych firmach?
Tak. Uprawnienia są przypisane do kontekstu. Po zalogowaniu w kontekście danej firmy aktywne są tylko uprawnienia, które ta firma Ci nadała.
Dlaczego token działa w jednej firmie, a w drugiej nie?
Bo token jest związany z kontekstem, w którym go wygenerowano. Dla drugiej firmy wygeneruj osobny token, logując się w jej kontekście.
Czy w środowisku testowym mogę zalogować się w kontekście dowolnego NIP?
Tak, w wersji testowej KSeF możliwa jest symulacja poświadczeń i logowanie w kontekście dowolnego NIP. W wersji Demo działa to jak na produkcji (FAQ MF, kategoria „Zagadnienia techniczne”, pyt. 7).
Źródła
- Podręcznik KSeF 2.0, cz. I (06.08.2026), rozdz. 2 (pojęcie kontekstu uwierzytelnienia, przykłady 1-7) i 2.4
- Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, wersja 2.6, rozdz. 4.1 i 4.1.2
- Pytania i odpowiedzi KSeF 2.0: kategoria „Uprawnienia i autoryzacja”, pyt. 10, 16; kategoria „Certyfikaty KSeF”, pyt. 10; kategoria „Zagadnienia techniczne”, pyt. 7
- Dokumentacja API KSeF 2.0, MF (GitHub CIRFMF): „Uwierzytelnianie”, „Certyfikaty KSeF”, specyfikacja OpenAPI (statusy uwierzytelnienia)
Stan prawny na 19 października 2026 r. Artykuł ma charakter ogólnej informacji i nie stanowi porady podatkowej.