Uprawnienia KSeF dla integracji sklepu: jakie minimum dać aplikacji
W skrócie: przy integracji sklepu z KSeF aplikacja, która wystawia faktury, potrzebuje uprawnienia do wystawiania faktur, a przeglądania faktur tylko wtedy, gdy faktury pobiera lub sprawdza. Token KSeF ma w sobie tylko te uprawnienia, które zaznaczysz przy generowaniu. Certyfikat KSeF działa z pełnymi uprawnieniami osoby, która go wygenerowała, dlatego warto wiedzieć, czyj certyfikat wgrywasz do aplikacji.
Integracja z KSeF: jakich uprawnień potrzebuje aplikacja sklepu
Rozporządzenie w sprawie korzystania z KSeF przewiduje kilka rodzajów uprawnień, w tym do nadawania i odbierania uprawnień oraz do wystawiania lub dostępu do faktur (§ 3 ust. 1 rozporządzenia, Dz.U. 2025 poz. 1815). W Aplikacji Podatnika widzisz je jako osobne pola: wystawianie faktur, przeglądanie faktur, przeglądanie uprawnień, zarządzanie uprawnieniami, zarządzanie jednostkami podrzędnymi i przeglądanie historii sesji.
Dokumentacja API KSeF 2.0 opisuje przy każdej operacji, jakiego uprawnienia wymaga. Dla aplikacji sklepu wygląda to tak:
| Co robi aplikacja | Potrzebne uprawnienie |
|---|---|
| Wysyła fakturę i korektę do KSeF | Wystawianie faktur |
| Sprawdza status wysyłki, odczytuje numer KSeF, pobiera UPO | Wystawianie faktur |
| Pobiera fakturę z KSeF, na przykład żeby porównać ją z własną kopią | Przeglądanie faktur |
| Pobiera faktury zakupowe | Przeglądanie faktur |
| Nadaje uprawnienia innym osobom | Zarządzanie uprawnieniami (aplikacji sklepu niepotrzebne) |
Minimum dla aplikacji, która tylko wystawia, to więc wystawianie faktur. Przeglądanie faktur daje wgląd we wszystkie faktury firmy, także zakupowe. Daj je tylko wtedy, gdy dostawca wyjaśni, po co mu ono. Zarządzania uprawnieniami nie dawaj żadnej aplikacji sklepu.
Certyfikat czy token dla aplikacji
To najważniejsza różnica przy podłączaniu aplikacji. Podręcznik MF mówi wprost: token zawiera w sobie uprawnienia zadeklarowane przy jego generowaniu, a certyfikat KSeF nie jest nośnikiem uprawnień, tylko środkiem uwierzytelnienia, podobnie jak podpis kwalifikowany (Podręcznik KSeF 2.0, cz. I, rozdz. 2.5.9 i tabela 3).
| Cecha | Token KSeF | Certyfikat KSeF |
|---|---|---|
| Zakres uprawnień | Tylko zaznaczone przy generowaniu | Wszystkie uprawnienia osoby, która go ma |
| Konteksty (NIP firm) | Tylko ten, w którym go wygenerowano | Każdy, w którym osoba ma uprawnienia |
| Ważność | Dziś do unieważnienia; MF rozważa 1-365 dni | Do 2 lat |
| Status po 2026 r. | MF zapowiada, że zostaje; rozporządzenie wciąż mówi o 31.12.2026 | Bez zmian |
| Unieważnienie | „Lista tokenów” -> „Unieważnij” | „Lista certyfikatów” -> „Unieważnij” |
Co to oznacza w praktyce:
- Certyfikat właściciela JDG daje aplikacji wszystko, co może właściciel, łącznie z nadawaniem uprawnień. Aplikacja łączy się w kontekście Twojego NIP, ale technicznie certyfikat działa wszędzie tam, gdzie Ty masz uprawnienia.
- Certyfikat księgowej, która obsługuje kilka firm, działa w kontekście każdej z nich (przykład w Podręczniku KSeF 2.0, cz. I, rozdz. 2.5.7). Nie wgrywaj go do aplikacji jednego klienta.
- Token można ograniczyć do wystawiania faktur i tylko jednej firmy. Jego słabość to niepewny status po 2026 r., opisany w artykule token KSeF.
Jeśli chcesz użyć certyfikatu z wąskim zakresem, jest trzecia droga: nadaj osobie, na przykład pracownikowi, tylko uprawnienie do wystawiania faktur w Twoim NIP. Ta osoba generuje własny certyfikat, a aplikacja działa w granicach jej uprawnień. Jak nadać uprawnienie, opisujemy w artykule uprawnienia w KSeF dla księgowej. Pamiętaj, że certyfikat wydany na osobę fizyczną jest jej osobistym poświadczeniem (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 8), a certyfikat wydany na spółkę spółka może przekazać wybranym pracownikom i za niego odpowiada (FAQ MF, kategoria „Certyfikaty KSeF”, pyt. 9).
Do łączenia aplikacji służy certyfikat o przeznaczeniu „Uwierzytelnienie w systemie KSeF”. Drugi rodzaj, „Podpis linku weryfikacyjnego wystawcy”, jest potrzebny do kodu QR na fakturach offline. Instrukcja: jak wygenerować certyfikat KSeF.
Gdzie dostawca przechowuje Twój token lub certyfikat
Kto ma token albo certyfikat z kluczem prywatnym i hasłem, ten może działać w KSeF w Twoim imieniu. Zanim cokolwiek wgrasz, dowiedz się:
- czy token, certyfikat i klucz są szyfrowane i gdzie leży klucz szyfrujący,
- czy hasło do klucza jest zapisywane, czy używane jednorazowo,
- w jakim kraju stoją serwery i kto ma do nich dostęp,
- czy dane wracają kiedykolwiek do przeglądarki,
- co dzieje się z danymi po odinstalowaniu aplikacji.
Dane nabywców na fakturach to dane osobowe w rozumieniu RODO. Dostawca aplikacji przetwarza je w Twoim imieniu, więc powinien działać jako podmiot przetwarzający na podstawie umowy (art. 28 RODO).
Przykład z naszego podwórka: w KSeF Faktury na Shopify certyfikat lub token przechowujemy zaszyfrowane AES-256 na serwerach w UE, hasła do klucza nie zapisujemy, a przy połączeniu tokenem prosimy o zaznaczenie wystawiania i przeglądania faktur (przeglądanie służy nam do sprawdzenia faktury przy podejrzeniu zdublowanego numeru). Szczegóły na stronie Bezpieczeństwo.
Jak odłączyć aplikację w minutę
- Zaloguj się do Aplikacji Podatnika KSeF (ap.ksef.mf.gov.pl) w kontekście NIP firmy.
- Token: w menu wybierz „Lista tokenów”, zaznacz token aplikacji i kliknij „Unieważnij”.
- Certyfikat: w menu wybierz „Lista certyfikatów”, zaznacz certyfikat, kliknij „Unieważnij”, wybierz powód i potwierdź. Unieważnić można tylko własny certyfikat, więc robi to osoba, na którą go wydano.
- Uprawnienia osoby, której certyfikatu używa aplikacja: „Zarządzaj uprawnieniami” -> „Odbierz uprawnienie”.
Uwaga: odebranie uprawnień nie unieważnia ani tokenu, ani certyfikatu (Podręcznik KSeF 2.0, cz. I, tabela 3). Token odzyska działanie, gdy uprawnienia wrócą. Żeby mieć pewność, unieważnij sam token lub certyfikat.
Pytania do dostawcy przed podpięciem
- Jakich uprawnień potrzebujecie i do czego służy każde z nich?
- Token czy certyfikat, a jeśli certyfikat, to czyj?
- Gdzie i jak przechowujecie dane logowania do KSeF?
- Co się dzieje z fakturami w kolejce, gdy odłączę dostęp?
- Czy podpiszecie umowę powierzenia przetwarzania danych?
Najczęstsze pytania
Czy aplikacja sklepu potrzebuje uprawnienia do zarządzania uprawnieniami?
Nie. Do wystawiania faktur wystarczy uprawnienie do wystawiania faktur.
Czy mogę mieć osobny token dla każdej aplikacji?
Tak. Liczba tokenów nie jest ograniczona, a każdy możesz nazwać i unieważnić osobno (Podręcznik KSeF 2.0, cz. I, tabela 3).
Czy zmiana zakresu uprawnień unieważnia certyfikat?
Nie. Certyfikat zostaje ważny, ale działa tylko w granicach uprawnień, które osoba ma w danej chwili.
Artykuł ma charakter ogólnej informacji i nie jest poradą podatkową.
Źródła
- Podręcznik KSeF 2.0, cz. I (06.08.2026), rozdz. 2.5.7, 2.5.9, tabela 3
- Podręcznik użytkownika Aplikacji Podatnika KSeF 2.0, wersja 2.6, rozdz. 5.5, 5.6, 5.7
- Pytania i odpowiedzi KSeF 2.0, Ministerstwo Finansów: kategoria „Certyfikaty KSeF”, pyt. 8 i 9; kategoria „Uprawnienia i autoryzacja”, pyt. 22, 29, 39
- Rozporządzenie w sprawie korzystania z KSeF, Dz.U. 2025 poz. 1815, § 3 i § 13
- Dokumentacja API KSeF 2.0 (MF, GitHub): uprawnienia wymagane przez poszczególne operacje
- Rozporządzenie (UE) 2016/679 (RODO), art. 28
Stan prawny na 19 października 2026 r.