Przy wdrażaniu KSeF łatwo pomylić certyfikat służący do logowania z tym, który zabezpiecza fakturę wystawioną poza systemem. Wyjaśniam, czym jest certyfikat KSeF, kto powinien go uzyskać, jak zrobić to w 2026 roku oraz kiedy potrzebny jest kod QR z oznaczeniem „CERTYFIKAT”.
Najważniejsze informacje o certyfikatach KSeF w 2026 roku
- Istnieją dwa typy certyfikatu: do uwierzytelniania oraz do faktur wystawianych offline.
- Typ 2 jest potrzebny do wygenerowania kodu QR potwierdzającego tożsamość wystawcy faktury offline.
- Wniosek składa się od lutego 2026 roku w Aplikacji Podatnika KSeF 2.0 albo przez API.
- Certyfikat jest ważny maksymalnie 2 lata.
- Certyfikat i token to różne narzędzia. Nie można używać ich zamiennie w każdym scenariuszu.
Czym jest certyfikat KSeF i do czego służy
Certyfikat KSeF to cyfrowe narzędzie potwierdzające tożsamość osoby albo firmy korzystającej z Krajowego Systemu e-Faktur. Działa podobnie do elektronicznego identyfikatora, ale jego zastosowanie zależy od wybranego typu. Nie jest tym samym co podpis kwalifikowany, choć podpis lub pieczęć kwalifikowana mogą być użyte przy składaniu wniosku.
W praktyce certyfikat przydaje się przede wszystkim w dwóch sytuacjach. Po pierwsze, może służyć do uwierzytelnienia w KSeF przez program finansowo-księgowy. Po drugie, zabezpiecza faktury wystawiane w szczególnych trybach offline, gdy dokument trzeba przekazać nabywcy poza systemem.
Nie każda faktura wymaga certyfikatu. Jeżeli dokument jest wystawiany i przekazywany prawidłowo przez działający KSeF, przedsiębiorca może korzystać z innych metod uwierzytelnienia, takich jak profil zaufany, podpis kwalifikowany czy token. Certyfikat staje się szczególnie ważny wtedy, gdy firma chce zachować ciągłość fakturowania podczas niedostępności systemu.
Według informacji Ministerstwa Finansów certyfikaty KSeF są dostępne w systemie KSeF 2.0 od 1 lutego 2026 roku. Samo uzyskanie dokumentu nie zastępuje jednak nadania uprawnień. Osoba korzystająca z certyfikatu nadal musi mieć odpowiedni dostęp do danych podatnika lub podmiotu.
Dwa typy certyfikatu i różnice między nimi
Najczęstszy błąd polega na założeniu, że jeden certyfikat będzie służył do wszystkiego. W KSeF trzeba wybrać przeznaczenie dokumentu, a certyfikat typu 1 i typu 2 są generowane oddzielnie.
| Typ certyfikatu | Główne zastosowanie | Kiedy jest potrzebny |
|---|---|---|
| Typ 1 | Uwierzytelnienie w KSeF | Przy logowaniu lub integracji programu księgowego z API KSeF |
| Typ 2 | Podpisanie linku weryfikacyjnego wystawcy | Przy wystawianiu faktury offline i przekazywaniu jej poza KSeF |
Certyfikat typu 1
Typ 1 służy do potwierdzenia, kto łączy się z systemem. Może być wykorzystywany w sesji interaktywnej albo wsadowej, czyli przy automatycznej wymianie większej liczby dokumentów między oprogramowaniem a KSeF.
To rozwiązanie ma największy sens w firmach korzystających z komercyjnego programu do fakturowania, ERP albo systemu biura rachunkowego. Trzeba jednak sprawdzić, czy dostawca programu obsługuje certyfikat i podpis XAdES-BES. Samo pobranie pliku nie wystarczy, jeśli aplikacja nie potrafi go wykorzystać.
Przeczytaj również: Faktura dla konsumenta: zasady, terminy, KSeF. Wszystko w 1 miejscu
Certyfikat typu 2
Typ 2 służy do potwierdzenia tożsamości wystawcy faktury offline. Jest potrzebny do wygenerowania drugiego kodu QR, oznaczonego słowem „CERTYFIKAT”. Nabywca może dzięki niemu sprawdzić, czy dokument rzeczywiście pochodzi od wskazanego podatnika.
Ten rodzaj certyfikatu nie zastępuje typu 1. Nie służy do zwykłego logowania w KSeF i nie powinien być wybierany tylko dlatego, że firma chce „mieć certyfikat”. Wybieram go wtedy, gdy przedsiębiorstwo realnie korzysta z trybu offline albo chce być przygotowane na awarię systemu.
Jak uzyskać certyfikat KSeF krok po kroku
Od lutego 2026 roku wniosek składa się w Aplikacji Podatnika KSeF 2.0 albo za pośrednictwem API KSeF 2.0. Proces nie wymaga kupowania certyfikatu od zewnętrznego dostawcy, ale wymaga wcześniejszego potwierdzenia tożsamości i prawidłowego zabezpieczenia klucza prywatnego.
- Zaloguj się do KSeF jako podatnik albo osoba posiadająca odpowiednie uprawnienia.
- Uwierzytelnij się profilem zaufanym, podpisem kwalifikowanym, pieczęcią kwalifikowaną albo inną obsługiwaną metodą.
- Przejdź do funkcji składania wniosku o wydanie certyfikatu.
- Wybierz przeznaczenie dokumentu, czyli uwierzytelnienie albo podpis linku weryfikacyjnego wystawcy.
- Wygeneruj parę kluczy kryptograficznych i ustaw hasło do klucza prywatnego.
- Wskaż datę rozpoczęcia ważności certyfikatu.
- Wyślij wniosek, odśwież status i pobierz wydany certyfikat.
Klucz prywatny jest zapisywany na urządzeniu użytkownika jako osobny plik, zwykle z rozszerzeniem .key. Sam certyfikat może zostać pobrany w formacie PEM jako plik .crt. Do działania potrzebne są oba elementy, dlatego nie należy usuwać klucza prywatnego po pobraniu certyfikatu.
Hasło do klucza trzeba zachować w bezpiecznym miejscu. Nie da się go po prostu odzyskać tak jak hasła do poczty. Jeżeli klucz prywatny zostanie utracony, najbezpieczniejszym rozwiązaniem jest unieważnienie certyfikatu i wygenerowanie nowego.
Certyfikat może być ważny maksymalnie przez 2 lata od daty wytworzenia albo od wskazanej daty początkowej. Przy odnowieniu dobrze jest ustawić nowy okres tak, aby kolejny dokument zaczął działać bezpośrednio po wygaśnięciu poprzedniego.
Kto może otrzymać certyfikat
Certyfikat może zostać wydany osobie fizycznej identyfikowanej numerem NIP albo PESEL, jeżeli ma ona uprawnienie do korzystania z KSeF. W przypadku jednoosobowej działalności najczęściej będzie to właściciel firmy posługujący się NIP-em działalności.
Może go także otrzymać spółka lub inny podmiot posiadający NIP. W takiej sytuacji podmiot uwierzytelnia się najczęściej pieczęcią kwalifikowaną. Spółka może wygenerować kilka certyfikatów na swoje dane i przekazać je pracownikom albo zewnętrznemu biuru rachunkowemu.
Trzeba dobrze przemyśleć, na jakie dane wystawiany jest dokument. Jeżeli pracownik korzysta z certyfikatu wydanego na spółkę, w KSeF widoczna będzie przede wszystkim tożsamość spółki, a nie konkretnej osoby, która technicznie wystawiła fakturę.
W praktyce nie rozdawałbym certyfikatów bez kontroli. Lepszym rozwiązaniem jest osobny certyfikat dla konkretnego procesu, ograniczenie dostępu do klucza prywatnego i jasne ustalenie, kto odpowiada za jego przechowywanie.
Kiedy certyfikat jest potrzebny przy fakturze offline
Tryb offline pozwala wystawić fakturę mimo czasowej niedostępności KSeF. Dotyczy to między innymi trybu offline24, niedostępności systemu albo awarii KSeF. Dokument powstaje poza bieżącą sesją z systemem, ale później trzeba postąpić zgodnie z właściwym terminem przesłania faktury.
Jeżeli faktura offline jest przekazywana nabywcy poza KSeF przed otrzymaniem numeru KSeF, powinna zawierać dwa kody QR:
- kod „OFFLINE”, który pozwala później uzyskać dostęp do faktury i zweryfikować jej dane,
- kod „CERTYFIKAT”, który potwierdza tożsamość wystawcy.
Do wygenerowania drugiego kodu potrzebny jest certyfikat typu 2 oraz odpowiadający mu klucz prywatny. To właśnie ten element najczęściej decyduje o tym, czy program będzie mógł prawidłowo przygotować wizualizację faktury offline.
Jeżeli faktura zostanie udostępniona poza KSeF dopiero po przesłaniu jej do systemu i nadaniu numeru KSeF, wystarczy jeden kod QR powiązany z tym numerem. Nie każda faktura przekazywana w PDF wymaga więc kodu „CERTYFIKAT”.
Po zakończeniu niedostępności fakturę offline trzeba przesłać do KSeF najpóźniej w następnym dniu roboczym. W przypadku ogłoszonej awarii termin wynosi do 7 dni roboczych od jej zakończenia. Przy całkowitej awarii, ogłoszonej w środkach społecznego przekazu, faktur nie przesyła się później do systemu.
Certyfikat, token i podpis kwalifikowany w praktyce
Certyfikat KSeF bywa porównywany z tokenem albo podpisem kwalifikowanym, ale są to różne rozwiązania. Różnica ma znaczenie zwłaszcza wtedy, gdy firma wybiera sposób integracji programu do faktur z KSeF.
| Narzędzie | Do czego służy | Najważniejsze ograniczenie |
|---|---|---|
| Certyfikat typu 1 | Uwierzytelnia osobę lub podmiot w KSeF | Musi być obsługiwany przez używany program lub API |
| Certyfikat typu 2 | Tworzy potwierdzenie wystawcy dla faktury offline | Nie służy do zwykłego logowania w KSeF |
| Token | Umożliwia uwierzytelnienie i zawiera określony zakres uprawnień | Nie zastępuje certyfikatu typu 2 przy kodzie „CERTYFIKAT” |
| Podpis kwalifikowany | Potwierdza tożsamość przy logowaniu lub składaniu wniosku | Nie jest certyfikatem KSeF i nie generuje automatycznie kodu offline |
W 2026 roku token nadal może być wygodny przy prostych integracjach, ale certyfikat lepiej pasuje do długofalowego modelu pracy z KSeF. Token zawiera uprawnienia określone przy jego tworzeniu, natomiast certyfikat jest przede wszystkim środkiem uwierzytelnienia, a uprawnienia są sprawdzane w systemie.
Jeżeli korzystam z bezpłatnej Aplikacji Podatnika i wystawiam faktury wyłącznie online, certyfikat nie musi być codziennym narzędziem logowania. W przypadku programu komercyjnego, automatyzacji faktur albo obsługi trybu offline warto jednak uzgodnić z dostawcą, który typ certyfikatu i jaki format pliku jest wymagany.
Jak bezpiecznie przechowywać i unieważnić certyfikat
Posiadacz klucza prywatnego może wykonać działania w imieniu osoby lub firmy, zależnie od przypisanych uprawnień. Dlatego pliku .key nie należy przesyłać zwykłym e-mailem, umieszczać w publicznym folderze ani przechowywać bez hasła na wspólnym komputerze.
Najrozsądniej przechowywać zaszyfrowaną kopię w bezpiecznym repozytorium, ograniczyć dostęp do jednej lub kilku upoważnionych osób i prowadzić prostą ewidencję, który certyfikat należy do jakiego procesu. W małej firmie wystarczy często zaszyfrowany nośnik i kopia zapasowa w kontrolowanym miejscu.
W razie utraty pliku, podejrzenia przejęcia klucza albo odejścia pracownika certyfikat należy unieważnić. Do tej operacji potrzebne jest ponowne uwierzytelnienie inną dostępną metodą, na przykład podpisem kwalifikowanym, pieczęcią, profilem zaufanym lub innym aktywnym certyfikatem.
Trzeba też rozdzielić środowisko testowe od produkcyjnego. Certyfikaty wygenerowane na potrzeby testów nie powinny być używane przy prawdziwych fakturach. Do pracy produkcyjnej potrzebny jest certyfikat wystawiony w środowisku produkcyjnym KSeF 2.0.
Najprostszy wybór dla małej firmy
Jeżeli firma wystawia faktury online w aplikacji i nie korzysta z własnej integracji, najpierw sprawdziłbym, czy certyfikat jest rzeczywiście wymagany przez używane narzędzie. Nie ma sensu generować dwóch dokumentów tylko dlatego, że pojawiły się w instrukcji KSeF.
Certyfikat typu 1 warto uzyskać przy integracji programu księgowego z API oraz wtedy, gdy kilka osób lub systemów ma regularnie łączyć się z KSeF. Typ 2 przyda się firmie, która wystawia dokumenty offline i przekazuje je klientom poza systemem, zwłaszcza konsumentom lub kontrahentom zagranicznym.
Największą różnicę robi nie samo pobranie certyfikatu, lecz właściwe przygotowanie procesu. Trzeba ustalić, kto składa wniosek, gdzie przechowywany jest klucz prywatny, jakie uprawnienia ma użytkownik i czy program poprawnie generuje kody QR. Dzięki temu certyfikat staje się praktycznym zabezpieczeniem faktur, a nie kolejnym plikiem zapisanym bez planu na komputerze.
