Token czy certyfikat KSeF? Porównanie dla sklepu i biura

Certyfikat, token i uprawnienia · Aktualizacja: 2026-10-19

W skrócie: KSeF token czy certyfikat? Oba pozwalają programowi logować się do KSeF i oba działają równolegle (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 3). Token jest prostszy i dziś nie ma terminu ważności, ale ma zapisane uprawnienia, działa w jednym kontekście, a jego przyszłość zależy od nowelizacji rozporządzenia. Certyfikat KSeF jest ważny 2 lata, działa dla wielu firm i tylko certyfikat typu 2 pozwala wystawiać faktury offline z drugim kodem QR.

KSeF token czy certyfikat: tabela różnic

Tabela na podstawie Podręcznika KSeF 2.0, cz. I, tabela 3 i rozdz. 2.4-2.5, rozporządzenia w sprawie korzystania z KSeF (§ 6 i § 13) oraz FAQ MF. Ostatni wiersz omawiamy niżej, a czym jest kontekst, w którym działa token, wyjaśniamy w artykule kontekst logowania w KSeF.

Stan przepisów: co z tokenami po 2026 r.

Rozporządzenie w sprawie korzystania z KSeF (Dz.U. 2025 poz. 1815, § 13 ust. 1 pkt 1) pozwala uwierzytelniać się tokenem do 31 grudnia 2026 r. Na 19 października 2026 r. ten przepis nie został zmieniony. Jedyna dotychczasowa nowelizacja (Dz.U. 2026 poz. 169) dotyczyła innych terminów.

Jednocześnie MF zapowiada, że tokeny zostaną po 2026 r., a rozporządzenie zostanie znowelizowane (FAQ MF, kategoria „Uprawnienia i autoryzacja”, pyt. 39). W konsultacjach z 9 czerwca 2026 r. MF zaproponował jednak, żeby token miał w przyszłości ważność od 1 do 365 dni, z nowym uprawnieniem do automatycznego odnawiania za zgodą właściciela. Strona Aplikacji Podatnika na ksef.podatki.gov.pl nadal opisuje generowanie tokenów jako dostępne „do 31 grudnia 2026 r.”.

Dla certyfikatu KSeF nie ma takiej niepewności. Jest ważny najwyżej 2 lata od wydania albo od wskazanej daty początkowej i może być odnowiony w okresie ważności (§ 6 ust. 2 rozporządzenia). Szczegóły o tokenach, w tym jak go wygenerować i unieważnić, opisujemy w artykule o tokenie KSeF.

Kiedy wystarczy token

Token ma sens, gdy:

• program działa tylko dla jednej firmy, w jednym kontekście NIP,
• chcesz połączyć program szybko, bez plików i hasła do klucza,
• nie wystawiasz faktur offline z dwoma kodami QR,
• jesteś gotów sprawdzić w grudniu 2026 r., czy nowelizacja rozporządzenia wyszła i czy nie wprowadza terminu ważności.

Pamiętaj o dwóch ograniczeniach z Podręcznika KSeF 2.0 (cz. I, rozdz. 2.4). Tokenu nie da się zmienić po wygenerowaniu, więc nowe uprawnienie wymaga nowego tokenu. I tokenem może posługiwać się tylko osoba, która go wygenerowała. MF uznaje przekazywanie tokenów innym osobom za niedopuszczalne.

Kiedy lepszy certyfikat

Certyfikat KSeF wybierz, gdy:

• pracujesz dla kilku firm. Biuro rachunkowe z jednym certyfikatem obsłuży wszystkich klientów, którzy nadali mu uprawnienia. Odebranie uprawnień przez jednego klienta nie unieważnia certyfikatu (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 10).
• chcesz przewidywalności. Masz datę końca ważności, którą wpisujesz do kalendarza, i nie zależysz od zmian w zasadach tokenów.
• firma to spółka. Certyfikat wydany na spółkę nie jest powiązany z konkretną osobą i spółka może przekazać go pracownikom, odpowiadając za jego kontrolę i unieważnianie (pyt. 9). Certyfikat wydany na osobę fizyczną jest osobisty (pyt. 8).
• chcesz, żeby uprawnienia były tylko w jednym miejscu. Certyfikat nie niesie uprawnień, więc gdy zmienisz uprawnienia osoby w KSeF, zmiana od razu obejmuje program.

Certyfikat typu 2 do trybu offline: token go nie zastąpi

Jeśli fakturę wystawioną offline (offline24, niedostępność KSeF, tryb awaryjny) przekazujesz nabywcy poza KSeF, zanim dostała numer, musi mieć dwa kody QR. Drugi, z napisem „CERTYFIKAT”, potwierdza tożsamość wystawcy i do jego wygenerowania potrzebny jest certyfikat KSeF typu 2 (art. 106nda ust. 6 i 7 ustawy o VAT; FAQ MF, kategoria „Wystawianie i otrzymywanie faktur”, pyt. 4).

To osobny certyfikat. Przy wniosku wybierasz przeznaczenie „Podpis linku weryfikacyjnego wystawcy”, a nie „Uwierzytelnienie w systemie KSeF”. Jednego certyfikatu do obu celów wygenerować się nie da. Token w ogóle nie służy do podpisywania kodów QR. Więcej o tym, kiedy faktura offline ma dwa kody, w artykule o trybie offline24.

Jedna pułapka przy generowaniu

Certyfikatu KSeF nie wygenerujesz, jeśli zalogujesz się tokenem. Rozporządzenie mówi wprost, że po uwierzytelnieniu tokenem nie jest możliwe wytworzenie certyfikatu KSeF (§ 13 ust. 2). Co do logowania certyfikatem KSeF, materiały MF się różnią: FAQ pozwala wtedy wnioskować o kolejny certyfikat (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 11), a instrukcja uwierzytelnienia z listopada 2025 r. mówi, że nie. Najpewniejsza droga to wniosek po zalogowaniu przez login.gov.pl (węzeł krajowy, w tym Profil Zaufany i mObywatel) albo podpisem lub pieczęcią kwalifikowaną. Instrukcja krok po kroku: jak wygenerować certyfikat KSeF.

Rekomendacja dla sklepu z aplikacją

Dla sklepu, który łączy z KSeF program albo aplikację wystawiającą faktury automatycznie, zalecamy certyfikat KSeF typu 1:

1. Wygeneruj osobny certyfikat dla każdego programu i nazwij go tak, żeby wiedzieć, gdzie jest użyty.
2. Ustaw przypomnienie miesiąc przed końcem ważności. Nowy certyfikat możesz dostać najwcześniej miesiąc przed upływem ważności najstarszego aktywnego (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.6).
3. Hasło do klucza trzymaj w menedżerze haseł, a pliki w kopii zapasowej. Zgubionego klucza nie da się odzyskać.
4. Jeśli wolisz token, nadaj mu tylko potrzebne uprawnienia (wystawianie i przeglądanie faktur) i sprawdź stan przepisów pod koniec grudnia 2026 r.

W aplikacji KSeF Faktury dla Shopify działają oba sposoby, ale z tych powodów zalecamy certyfikat. Jak go przechowujemy, opisujemy na stronie Bezpieczeństwo, a jak wgrać pliki do programu, w artykule jak wgrać certyfikat KSeF do programu.

Pytania i odpowiedzi

Czy mogę mieć jednocześnie token i certyfikat?

Tak. Oba sposoby działają równolegle (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 3). Możesz na przykład używać certyfikatu w aplikacji sklepu, a tokenu w innym programie.

Czy certyfikat i token tracą ważność, gdy odbiorę komuś uprawnienia?

Nie. Ani token, ani certyfikat nie jest unieważniany po zmianie uprawnień (Podręcznik KSeF 2.0, cz. I, tabela 3). Zmienia się tylko to, co można nimi zrobić. Żeby na pewno odciąć dostęp, unieważnij token albo certyfikat.

Który sposób jest bezpieczniejszy?

Oba są bezpieczne, jeśli nie wyciekną. Token to jeden ciąg znaków, więc wystarczy go poznać. Do certyfikatu potrzebny jest plik klucza i hasło. W obu przypadkach ograniczaj uprawnienia i unieważniaj to, czego już nie używasz.

Co zrobić 1 stycznia 2027 r., jeśli program używa tokenu?

Według zapowiedzi MF nic. Jeśli jednak do końca grudnia nowelizacja rozporządzenia nie zostanie opublikowana, najbezpieczniej przełączyć program na certyfikat KSeF.

Źródła

• Podręcznik KSeF 2.0, cz. I (06.08.2026): rozdz. 2.4, 2.5.6, 2.5.9 i tabela 3
• Rozporządzenie w sprawie korzystania z KSeF, Dz.U. 2025 poz. 1815: § 6, § 13; zmiana Dz.U. 2026 poz. 169
• Pytania i odpowiedzi KSeF 2.0: kategoria „Certyfikaty KSeF”, pyt. 1, 3, 8-11; kategoria „Uprawnienia i autoryzacja”, pyt. 39; kategoria „Wystawianie i otrzymywanie faktur”, pyt. 4
• Pierwsze konsultacje po częściowym wdrożeniu KSeF: podsumowanie, MF, 11.06.2026
• Instrukcja uwierzytelnienia w Aplikacji Podatnika KSeF 2.0, MF, listopad 2025
• Aplikacja Podatnika KSeF 2.0, MF
• Ustawa o podatku od towarów i usług, tekst jednolity Dz.U. 2026 poz. 1263: art. 106nda ust. 6 i 7

Stan prawny na 19 października 2026 r.

Artykuł ma charakter ogólnej informacji i nie jest poradą podatkową.