KSeF: logowanie, token czy certyfikat i uprawnienia

Informacja o treści przepisów i działaniu systemu, nie porada prawna ani podatkowa. Sprawdź stan prawny w ISAP i aktualny wygląd aplikacji w serwisie MF przed działaniem.

Odpowiedź w trzech zdaniach

Do Aplikacji Podatnika KSeF 2.0 (ap.ksef.mf.gov.pl) logujesz się przez login.gov.pl (Profil Zaufany, mObywatel, bankowość elektroniczna, e-dowód) albo kwalifikowanym podpisem lub pieczęcią, a certyfikat KSeF i token nie służą do wejścia w tę aplikację. Certyfikat KSeF i token są potrzebne programowi do faktur, który łączy się z KSeF przez API, a certyfikat typu 2 także do faktur w trybie offline24 i awaryjnym. Obecne rozporządzenie dopuszcza tokeny do końca 2026 roku, MF zapowiada ich utrzymanie, a projekt zmiany rozporządzenia z października 2026 roku (Rządowe Centrum Legislacji, jeszcze nieprzyjęty) ma to uregulować, więc oba sposoby na razie działają równolegle.

Kto: każdy podatnik VAT wystawiający faktury w KSeF. Kiedy: podatnicy są obowiązani wystawiać faktury ustrukturyzowane przy użyciu Krajowego Systemu e-FakturprzepisPodatnicy są obowiązani wystawiać faktury ustrukturyzowane przy użyciu Krajowego Systemu e-Faktur.ustawa o podatku od towarów i usług, art. 106ga ust. 1 (stan: 2026-10-16) ISAP, pełny harmonogram jest w poradniku o pierwszej fakturze w KSeF. Koszt: aplikacja, certyfikaty i tokeny są bezpłatne, płacisz tylko za program komercyjny, jeśli go używasz.

Co przygotować

• NIP firmy i dostęp do jednego ze środków logowania: Profil Zaufany, aplikacja mObywatel, bankowość elektroniczna, e-dowód albo kwalifikowany podpis elektroniczny.
• Dla księgowej lub pracownika: imię, nazwisko oraz NIP lub PESEL osoby, której nadajesz uprawnienia.
• Menedżer haseł lub sejf na plik klucza prywatnego (.key) i hasło do niego. Hasła nie da się zresetować.
• Nazwę programu do faktur i kontakt do jego dostawcy: to on podaje, czy łączy się z KSeF certyfikatem czy tokenem.
• Gdy podpis kwalifikowany nie zawiera NIP ani PESEL: formularz ZAW-FA do zgłoszenia podpisu w urzędzie skarbowym.

Krok po kroku

1. Zaloguj się do Aplikacji Podatnika. Wejdź na ap.ksef.mf.gov.pl i kliknij „Zaloguj przez login.gov.pl”. Serwis przekieruje Cię do wyboru: Profil Zaufany, aplikacja mObywatel, bankowość elektroniczna lub e-dowód. Przycisk „Zaloguj certyfikatem” oznacza certyfikat kwalifikowany podpisu lub pieczęci, nie certyfikat KSeF. Tożsamość eID z innego państwa UE nie jest obsługiwana, a sam PESEL nie wystarcza. Szczegóły ekranów są w poradniku o pierwszej fakturze w KSeF.
2. Wybierz kontekst. Podaj „NIP podmiotu” i przejdź dalej. Jednoosobowa firma będąca podatnikiem VAT ma uprawnienia właścicielskie do swojego NIP bez składania wniosków.
3. Zdecyduj, czego potrzebuje Twój program do faktur. Zapytaj dostawcę programu, czy używa tokena czy certyfikatu KSeF typu 1. Gdy korzystasz tylko z aplikacji MF, nie potrzebujesz ani jednego, ani drugiego.
4. Wygeneruj certyfikat KSeF (gdy program tego wymaga lub chcesz fakturować offline24). W menu aplikacji wybierz „Wnioskuj o certyfikat”. W kroku 1 wpisz „Nazwa certyfikatu” (5 do 100 znaków) i „Hasło” (15 do 32 znaków: wielka i mała litera bez polskich znaków, cyfra i znak z zestawu !@#$%^&*()-_=+), powtórz hasło i kliknij „Generuj”. Klucz prywatny zapisze się na Twoim urządzeniu jako plik .key. W kroku 2 „Przesłanie wniosku” w polu „Przeznaczenie certyfikatu” wybierz „Uwierzytelnienie w systemie KSeF” (typ 1) albo „Podpis linku weryfikacyjnego wystawcy” (typ 2), ustaw „Certyfikat ważny od” i kliknij „Wyślij wniosek o wydanie certyfikatu”. Gdy status się nie zmienia, kliknij „Odśwież”, a po wydaniu „Pobierz certyfikat”. Plik pobierzesz też później z „Lista certyfikatów” (tylko w statusie „Aktywny”).
5. Wygeneruj token (gdy program tego wymaga). W aplikacji wejdź w sekcję „Tokeny” (nazwa sekcji wg podręcznika, sprawdź w menu), wpisz „Nazwa tokena”, zaznacz uprawnienia powiązane z tokenem i kliknij „Generuj token”. Token wyświetli się tylko raz: skopiuj go przyciskiem „Kopiuj” i zapisz poza aplikacją, na przykład w menedżerze haseł. Kolejny wygenerujesz przyciskiem „Wygeneruj kolejny token”.
6. Nadaj uprawnienia księgowej lub pracownikowi. W menu „Nadaj uprawnienie” wybierz z listy „Rodzaj uprawnienia”: „Osobie fizycznej do pracy w KSeF” (pracownik lub księgowa zatrudniona u Ciebie), „Osobie fizycznej do pracy dla klienta” (osoba z biura rachunkowego do Twojej firmy) albo „Podmiotowi do wystawiania i przeglądania faktur” (całe biuro jako podmiot). Wpisz NIP lub PESEL oraz imię i nazwisko, zaznacz zakres i zatwierdź. Uprawnienia przejrzysz i odbierzesz w „Zarządzaj uprawnieniami”.
7. Podłącz program do faktur. Wprowadź w programie token albo wgraj certyfikat KSeF (plik klucza i hasło), zgodnie z instrukcją dostawcy. Program musi obsługiwać API 2.0: integracja z KSeF 1.0 nie wystarcza.
8. Sprawdź połączenie w praktyce. Wystaw fakturę próbną na środowisku demo, o ile program je obsługuje, a na produkcji pobierz listę faktur zakupu. Dopiero potem przełącz fakturowanie na produkcję.

Zrzut ekranu wartościowy: ekran wyboru sposobu logowania, formularz „Wnioskuj o certyfikat” (krok 1 i 2), ekran z tokenem po wygenerowaniu oraz formularz „Nadaj uprawnienie”.

Logowanie: login.gov.pl, podpis, certyfikat, token

Sposób	Gdzie działa	Kiedy wybrać
login.gov.pl (Profil Zaufany, mObywatel, bank, e-dowód)	Aplikacja Podatnika, także przy generowaniu tokenów i certyfikatów	Domyślny wybór właściciela jednoosobowej firmy
Kwalifikowany podpis lub pieczęć elektroniczna	Aplikacja Podatnika i API	Firmy bez Profilu Zaufanego, spółki (pieczęć)
Certyfikat KSeF typu 1	API, czyli programy zintegrowane z KSeF; w Aplikacji Podatnika nie służy do logowania	Stałe połączenie programu, bez podpisywania każdej sesji
Token	API, czyli programy zintegrowane z KSeF	Prostsze połączenie programu, uprawnienia wybierasz przy generowaniu

Certyfikat KSeF: typy, ważność, odnowienie

• Typ 1 służy do uwierzytelniania w KSeF (sesja interaktywna i wsadowa).
• Typ 2 służy do oznaczania faktur w trybach offline24, offline i awaryjnym: umożliwia drugi kod QR potwierdzający tożsamość wystawcy. Jeden certyfikat nie obejmuje obu zastosowań, trzeba wygenerować dwa osobne.
• Ważność: nie dłużej niż 2 lata od daty wydania lub od daty początkowej, którą wskażesz we wniosku. Zmiana Twoich uprawnień nie unieważnia certyfikatu.
• Certyfikat osoby fizycznej jest osobisty i nie powinien trafiać do nikogo innego. Certyfikat firmy z NIP, wydany po uwierzytelnieniu pieczęcią kwalifikowaną, nie jest przypisany do osoby, ale firma odpowiada za jego rejestrację, kontrolę i unieważnianie.
• Użyty przy wniosku środek uwierzytelnienia decyduje, na jaki identyfikator zostanie wydany certyfikat.
• Odnowienie: nowy wniosek z datą początkową ustawioną na dzień po wygaśnięciu starego, żeby nie było przerwy.
• Unieważnienie: z „Lista certyfikatów” wybierz „Unieważnij certyfikat” i podaj powód: certyfikat zastąpiony nowym, naruszone bezpieczeństwo klucza prywatnego albo powód nieokreślony.

Przykład: wniosek o certyfikat typu 1 z datą początkową 10 listopada 2026 daje certyfikat ważny 2 lata, do listopada 2028. Wpisz w kalendarz przypomnienie na wrzesień 2028 i złóż kolejny wniosek z datą początkową dnia następnego po wygaśnięciu, a do tego czasu stary certyfikat nadal działa.

Token KSeF 2.0: czy nadal istnieje

Tak. Generowanie tokenów udostępniono od 1 lutego 2026 roku wraz z KSeF 2.0. Pierwotnie tokeny miały działać do końca 2026 roku, a od 1 stycznia 2027 miały zostać same certyfikaty. Według serwisu ksef.podatki.gov.pl MF zdecydowało jednak o pozostawieniu tokenów, a rozporządzenie ma zostać znowelizowane. W październiku 2026 roku w Rządowym Centrum Legislacji opublikowano projekt takiej zmiany. To tylko projekt: według jego opisów w prasie specjalistycznej tokeny wygenerowane przed 1 stycznia 2027 roku miałyby działać najdłużej do 30 listopada 2027 roku, a nowe byłyby ważne najwyżej 365 dni, więc „bezterminowo” może nie znaczyć „bez daty ważności”. Do czasu wejścia w życie nowego rozporządzenia obowiązuje termin z obecnego. Tokeny z KSeF 1.0 nie działają w KSeF 2.0, trzeba wygenerować nowe.

Różnica praktyczna: token niesie uprawnienia wybrane przy generowaniu (wystawianie faktur, przeglądanie faktur, przeglądanie uprawnień, zarządzanie uprawnieniami, zarządzanie jednostkami podrzędnymi, przeglądanie historii sesji), a certyfikat jest tylko narzędziem uwierzytelnienia i uprawnień nie zawiera. Certyfikat typu 2 jest wymagany do faktur offline niezależnie od tego, czy używasz tokena.

Uprawnienia dla księgowej, biura i pracownika

• Uprawnienia nadaje osoba, która sama je ma (właściciel lub osoba wskazana w ZAW-FA), w Aplikacji Podatnika lub w programie zintegrowanym z API. Osoba uprawniona loguje się własnym środkiem uwierzytelnienia, nie zakłada się dla niej „konta”.
• Zakres, który zaznaczasz przy nadawaniu: wystawianie faktur, przeglądanie faktur, przeglądanie uprawnień, przeglądanie historii sesji (UPO). Księgowej do samego rozliczania wystarczy zwykle przeglądanie faktur, a wystawianie dodaj tylko, gdy ma fakturować.
• Biuro rachunkowe może dostać uprawnienie jako podmiot. Jeśli zaznaczysz opcję delegowania, biuro wskaże własnych pracowników, którzy będą wystawiać faktury.
• Uprawnienia z KSeF 1.0 nie działają w KSeF 2.0 (poza zgłoszeniami ZAW-FA i uprawnieniami właścicielskimi). Pracownicy i księgowa muszą dostać uprawnienia od nowa.
• Zmiana pracownika lub biura: odbierz uprawnienie w „Zarządzaj uprawnieniami” tego samego dnia, w którym kończy się współpraca.
• Firma bez pieczęci kwalifikowanej (na przykład spółka) składa ZAW-FA, wskazując osobę, która będzie nadawać kolejne uprawnienia w KSeF.

Integracja z programem do faktur

• Program łączy się z KSeF przez API 2.0, niezależnie od tego, czy używa tokena, czy certyfikatu. Przed zakupem lub aktualizacją zapytaj dostawcę, czy obsługuje API 2.0, tryb offline24 i certyfikaty.
• Uwierzytelnienie w programie zintegrowanym jest wymagane niezależnie od oprogramowania: jedna sesja programu to jedno uwierzytelnienie tokenem lub certyfikatem.
• Faktury z załącznikiem wystawisz tylko w programach komercyjnych zintegrowanych z API 2.0, nie w darmowej aplikacji MF.
• Automatyczne pobieranie faktur zakupu jest możliwe przez integrację, co ułatwia księgowej pracę bez logowania do aplikacji.
• Dla trybu offline24 wgraj do programu także certyfikat typu 2 przed awarią, patrz poradnik o pierwszej fakturze w KSeF.
• Kto zaczyna firmę, ogarnia najpierw rejestrację VAT i konto firmowe: rejestracja VAT-R, konto firmowe JDG.

Bezpieczeństwo

• Token i klucz prywatny certyfikatu trzymaj jak hasło do banku: menedżer haseł, szyfrowany dysk, brak maila i komunikatorów.
• Hasło do klucza prywatnego nie podlega resetowi. Jego utrata oznacza wygenerowanie nowego certyfikatu.
• Nadawaj minimalny zakres. Token ze wszystkimi uprawnieniami, w tym „zarządzanie uprawnieniami”, daje programowi więcej, niż zwykle potrzeba.
• Na liście tokenów widzisz twórcę, datę aktywacji i datę ostatniego użycia. Zajrzyj tam okresowo: token nieużywany od miesięcy odwołaj przyciskiem „Unieważnij”.
• Gdy klucz wyciekł, laptop zginął albo odchodzi osoba z dostępem: unieważnij certyfikat z powodem „Bezpieczeństwo klucza prywatnego… zostało naruszone”, unieważnij tokeny i odbierz uprawnienia.
• Nie udostępniaj certyfikatu osobistego księgowej. Nadaj jej własne uprawnienia, wtedy w historii widać, kto co zrobił.

Terminy

Data	Zdarzenie
1 listopada 2025	Start Modułu Certyfikatów i Uprawnień, pobieranie certyfikatów
1 lutego 2026	Start KSeF 2.0: tokeny, uwierzytelnianie certyfikatem, uprawnienia w nowym modelu
do 31 grudnia 2026	Ostatni dzień tokenów w obecnym rozporządzeniu; projekt z października 2026 je przedłuża
1 stycznia 2027	Koniec limitu 10 000 zł miesięcznie: fakturowanie w KSeF bez względu na kwotę
do 2 lat od daty początkowej	Maksymalna ważność certyfikatu KSeF, potem nowy wniosek

Najczęstsze błędy

1. Próba zalogowania do Aplikacji Podatnika certyfikatem KSeF: w aplikacji loguje się przez login.gov.pl albo kwalifikowanym podpisem.
2. Zapisanie tokena tylko w przeglądarce: pokazuje się raz, po zamknięciu ekranu trzeba generować nowy.
3. Zgubione hasło do klucza prywatnego certyfikatu: nie da się go odzyskać.
4. Użycie tokena lub uprawnień z KSeF 1.0, które w KSeF 2.0 nie działają.
5. Jeden certyfikat do wszystkiego: typ 1 nie podpisze faktury offline24, do tego jest typ 2.
6. Niewłaściwy środek uwierzytelnienia przy wniosku o certyfikat, przez co certyfikat wychodzi na inny identyfikator niż zamierzony.
7. Nadanie księgowej pełnego zakresu zamiast przeglądania faktur oraz zostawienie uprawnień po zakończeniu współpracy.
8. Brak przypomnienia o wygaśnięciu certyfikatu: program traci połączenie w dniu faktur.

Najczęstsze pytania

Czy do KSeF zalogować się przez mObywatel?

Tak. Na ekranie logowania wybierasz „Zaloguj przez login.gov.pl”, a tam aplikację mObywatel, Profil Zaufany, bankowość elektroniczną lub e-dowód.

Token czy certyfikat: co wybrać?

Zależy od programu do faktur, bo to dostawca określa, co obsługuje. Token jest prostszy i nosi uprawnienia wybrane przy generowaniu, certyfikat typu 1 jest samym narzędziem uwierzytelnienia. Certyfikat typu 2 jest potrzebny dodatkowo do faktur w trybie offline24.

Czy tokeny w KSeF znikną w 2027 roku?

Według MF nie. Obecne rozporządzenie dopuszcza je do końca 2026 roku, ale serwis ksef.podatki.gov.pl podaje, że metoda zostaje, a rozporządzenie zostanie znowelizowane. Projekt zmiany z października 2026 roku (nieprzyjęty) przewiduje jednak terminy ważności tokenów, więc nie zakładaj, że token będzie działał bez końca. Przed zmianą sposobu połączenia sprawdź aktualną informację w serwisie MF.

Ile ważny jest certyfikat KSeF i co po wygaśnięciu?

Najwyżej 2 lata od daty wydania lub od daty początkowej ze wniosku. Przed wygaśnięciem złóż nowy wniosek z datą początkową dnia następnego po wygaśnięciu starego, wgraj nowy plik do programu i unieważnij stary, jeśli nie jest już potrzebny.

Czy księgowa może używać mojego certyfikatu lub tokena?

Technicznie program zadziała, ale to zła praktyka: certyfikat osoby fizycznej jest osobisty. Nadaj księgowej własne uprawnienie („Osobie fizycznej do pracy w KSeF” lub „do pracy dla klienta”), a w razie zmiany współpracy odbierz je jednym kliknięciem w „Zarządzaj uprawnieniami”.

Czy jednoosobowa firma musi składać ZAW-FA?

Co do zasady nie: podatnik VAT prowadzący jednoosobową firmę ma uprawnienia właścicielskie do NIP automatycznie. ZAW-FA jest potrzebny, gdy podpis nie zawiera NIP ani PESEL, albo gdy firma nie jest osobą fizyczną i nie ma pieczęci kwalifikowanej.

Co zrobić, gdy token lub klucz certyfikatu wyciekł?

Unieważnij token w „Lista tokenów” przyciskiem „Unieważnij”, a certyfikat w „Lista certyfikatów” z powodem naruszenia bezpieczeństwa klucza. Wygeneruj nowe, wgraj do programu i sprawdź listę faktur pod kątem nieznanych operacji.

Zobacz także

• Pierwsza faktura w KSeF krok po kroku
• KSeF dla małych firm od 2027: co zrobić
• Faktura korygująca w 2027: kiedy korekta, KSeF i VAT
• Rejestracja VAT-R krok po kroku
• Konto firmowe JDG: otwarcie i zgłoszenie
• Kalkulatory