Token czy certyfikat KSeF? Jak uwierzytelniać się w KSeF 2.0

KSeF nie ma klasycznego loginu i hasła. Ministerstwo Finansów pisze wprost: w KSeF nie ma loginów — każde wejście do systemu wymaga uwierzytelnienia. Do wyboru jest kilka metod. Różnią się tym, kto może z nich korzystać i do czego służą.

Metody uwierzytelniania

Metoda	Dla kogo	Uwagi
Profil Zaufany	osoba fizyczna	bezpłatne narzędzie
Kwalifikowany podpis elektroniczny	osoba fizyczna	zawsze wydawany indywidualnie konkretnej osobie
Kwalifikowana pieczęć elektroniczna	podmiot niebędący osobą fizyczną (np. spółka)	przy pieczęci nie trzeba składać ZAW-FA
Certyfikat KSeF typu 1	osoba lub podmiot	logowanie w sesjach interaktywnych i wsadowych przez API
Token KSeF	osoba lub podmiot	generowany po uwierzytelnieniu, używany np. w programach komercyjnych

Certyfikat KSeF: typ 1 i typ 2

MF opisuje dwa rodzaje certyfikatów KSeF:

• Typ 1 — uwierzytelnianie. Służy do logowania w KSeF. Dostęp wynika z uprawnień przypisanych do NIP lub PESEL zapisanego w certyfikacie.
• Typ 2 — offline. Służy do oznaczania faktur wystawianych w trybach offline (offline24, niedostępność, awaria) — to nim podpisuje się KOD II na fakturze.

Każdy typ wydaje się osobno; jeden certyfikat nie może łączyć obu funkcji. W nazwie (CN) certyfikatu jest słowo „uwierzytelnianie” albo „offline”.

Ważność: certyfikat jest ważny maksymalnie 2 lata od utworzenia lub od daty początkowej wskazanej przez podatnika.

Skąd go wziąć: od lutego 2026 r. wniosek o certyfikat i jego pobranie są dostępne w API KSeF 2.0 i w Aplikacji Podatnika KSeF 2.0. Wnioskodawca musi być uwierzytelniony w KSeF jako podatnik lub osoba uprawniona — np. Profilem Zaufanym, podpisem kwalifikowanym lub pieczęcią kwalifikowaną. Certyfikat dla firmy (bez przypisania do konkretnej osoby) wymaga uwierzytelnienia pieczęcią kwalifikowaną; firma sama odpowiada za przekazanie go pracownikom.

Uwaga praktyczna z tej samej strony MF: certyfikatem nie uwierzytelnisz się w Aplikacji Podatnika — służy do integracji przez API.

Token: co zdecydowało MF

Pierwotnie tokeny miały działać do końca 2026 r. Na stronie „Certyfikaty KSeF” (aktualizacja z 1 września 2026 r.) MF informuje, że zdecydowało o utrzymaniu tokenów bezterminowo, a rozporządzenie w sprawie KSeF zostanie odpowiednio zmienione.

Zwróć uwagę na dwie rzeczy:

1. Część stron MF nadal podaje datę 31 grudnia 2026 r. — np. opis Aplikacji Podatnika KSeF 2.0 przy funkcji zarządzania tokenami. Do czasu zmiany rozporządzenia warto śledzić komunikaty.
2. Podczas konsultacji w czerwcu 2026 r. MF zaproponowało m.in. okres ważności tokenów od 1 do 365 dni i automatyczne odnawianie za zgodą właściciela. Według podsumowania konsultacji były to propozycje, a nie przyjęte rozwiązania.

Token a certyfikat — czym się różnią

MF podkreśla, że token i certyfikat nie są funkcjonalnie równoważne:

• token niesie uprawnienia zadeklarowane przy jego generowaniu,
• certyfikat jest tylko środkiem uwierzytelnienia (podobnie jak podpis kwalifikowany) — zmiana uprawnień nie wpływa na jego ważność.

Co wybrać w małej firmie

• Wystawiasz faktury w bezpłatnej Aplikacji Podatnika? Logujesz się Profilem Zaufanym, podpisem lub pieczęcią kwalifikowaną.
• Korzystasz z programu połączonego z KSeF przez API? Program poprosi o token albo certyfikat typu 1 — sprawdź w jego instrukcji, co obsługuje.
• Planujesz tryby offline? Potrzebujesz dodatkowo certyfikatu typu 2. Więcej w artykule o trybach offline.

Kto i jakie uprawnienia może nadawać, opisujemy w artykule Uprawnienia w KSeF i ZAW-FA(3).