Certyfikat KSeF – do czego służy, jak go uzyskać i czy w ogóle go potrzebujesz

W skrócie: certyfikat KSeF to plik (certyfikat + klucz prywatny chroniony hasłem), który wydaje Ministerstwo Finansów. Typ 1 służy do logowania się do KSeF, głównie przez program do faktur. Typ 2 (offline) służy do drugiego kodu QR na fakturach wystawionych poza KSeF, np. gdy padnie internet. Wniosek składasz w Aplikacji Podatnika KSeF, a certyfikat jest ważny maksymalnie 2 lata. Jeśli wystawiasz faktury online i logujesz się profilem zaufanym albo tokenem, certyfikatu nie musisz mieć wcale.

Wokół certyfikatów narosło dużo zamieszania, bo pierwotnie miały zastąpić tokeny od 2027 r. To już nieaktualne. Ministerstwo w oficjalnych pytaniach i odpowiedziach pisze, że zostawia tokeny w KSeF 2.0 bezterminowo i znowelizuje w tym zakresie rozporządzenie. Certyfikat jest więc jedną z metod, a nie obowiązkiem dla każdej firmy.

Czy potrzebujesz certyfikatu KSeF?

• •Nie potrzebujesz, jeśli wystawiasz faktury w Aplikacji Podatnika albo e-mikrofirmie i logujesz się profilem zaufanym, e-dowodem lub podpisem kwalifikowanym.
• •Nie potrzebujesz, jeśli Twój program do faktur łączy się z KSeF tokenem. Tokeny nadal działają i według MF zostają na stałe.
• •Potrzebujesz typu 2 (offline), jeśli chcesz wystawiać faktury w trybie offline24 albo w czasie niedostępności lub awarii KSeF i przekazywać je nabywcy poza systemem (PDF, wydruk). Bez certyfikatu nie wygenerujesz drugiego kodu QR.
• •Potrzebujesz typu 1, jeśli Twój program wymaga logowania certyfikatem albo firma chce zautomatyzować dostęp bez tokenów (np. integracja ERP).

Typ 1 i typ 2: czym się różnią

Co sprawdziliśmy na środowisku testowym KSeF

Zanim napisaliśmy ten tekst, przeszliśmy całą ścieżkę wniosku na publicznym środowisku testowym Ministerstwa Finansów (api-test.ksef.mf.gov.pl), na fikcyjnej firmie testowej. Wnioskowaliśmy przez API, czyli tak, jak robią to programy do faktur. Aplikacja Podatnika korzysta z tych samych funkcji. Oto co wyszło:

• •Tokenem KSeF nie złożysz wniosku. Po zalogowaniu tokenem KSeF zwrócił limit 0 wniosków i 0 certyfikatów, a próba pobrania danych do wniosku skończyła się błędem „Żądanie jest nieprawidłowe”. Do wniosku trzeba się zalogować podpisem: profilem zaufanym, podpisem lub pieczęcią kwalifikowaną.
• •Wydanie trwa sekundy. Od wysłania wniosku do statusu „Wniosek obsłużony (certyfikat wygenerowany)” mijało u nas 1–2 sekundy, dla obu typów.
• •Ważność to dokładnie 2 lata. Certyfikat wydany 28.10.2026 r. bez wskazanej daty początkowej miał ważność do 28.10.2028 r., co do sekundy.
• •Dane w certyfikacie biorą się z logowania. Nazwa firmy i NIP trafiły do certyfikatu z pieczęci, którą się zalogowaliśmy, a KSeF dopisał do nazwy „(uwierzytelnienie)” albo „(offline)”. Wystawcą jest Ministerstwo Finansów, a nie komercyjne centrum certyfikacji.
• •Certyfikatem typu 1 zalogowaliśmy się w niecałą sekundę. Typem 2 (offline) logowanie zostało odrzucone, zgodnie z dokumentacją.
• •Limity dla firmy (NIP): 300 wniosków i 100 aktywnych certyfikatów. Każdy wydany certyfikat zmniejsza oba liczniki o jeden. Unieważnienie zwalnia miejsce w limicie aktywnych, ale nie w limicie wniosków.

Jak uzyskać certyfikat KSeF w Aplikacji Podatnika

• •Zaloguj się na ap.ksef.mf.gov.pl profilem zaufanym, e-dowodem albo podpisem lub pieczęcią kwalifikowaną. Tokenem się nie da (patrz wyżej).
• •Wejdź w Certyfikaty → Wnioskuj o certyfikat.
• •Wpisz nazwę certyfikatu i hasło, potem kliknij Generuj. Przeglądarka pobierze klucz prywatny zaszyfrowany tym hasłem. Nazwij certyfikat tak, żeby za rok wiedzieć, do czego jest, np. „Fakturownia – logowanie” albo „Offline – laptop”.
• •Wybierz przeznaczenie. Dla certyfikatu offline jest to opcja Podpis linku do weryfikacji wystawcy. Możesz wskazać datę początkową ważności; bez niej certyfikat działa od razu.
• •Kliknij Wyślij wniosek o wydanie certyfikatu, potem Odśwież i Pobierz certyfikat.
• •Zapisz oba pliki (certyfikat i klucz prywatny) w bezpiecznym miejscu i zapamiętaj hasło. Programy do faktur proszą zwykle o oba pliki i hasło.

Kto może złożyć wniosek

Wniosek składa się zawsze we własnym imieniu: certyfikat dostaje ta osoba albo firma, która się zalogowała. Według odpowiedzi MF:

• •Jednoosobowa działalność: przedsiębiorca na swój NIP lub PESEL, po zalogowaniu profilem zaufanym albo podpisem kwalifikowanym.
• •Spółka: na NIP firmy, po zalogowaniu kwalifikowaną pieczęcią elektroniczną. Taki certyfikat nie jest przypisany do jednej osoby, ale za jego udostępnianie pracownikom odpowiada firma.
• •Osoba z uprawnieniami (np. zgłoszona na ZAW-FA albo pracownik z nadanymi uprawnieniami): tylko dla siebie, na swój PESEL lub NIP, a nie na NIP firmy.

Certyfikat a księgowa

Nie wysyłaj księgowej swojego certyfikatu ani klucza prywatnego. MF pisze wprost, że certyfikatu wydanego na osobę fizyczną nie należy udostępniać innym osobom. Prawidłowa droga: nadajesz w KSeF uprawnienia księgowej lub biuru rachunkowemu, a ona loguje się własnymi danymi i, jeśli chce, wnioskuje o własny certyfikat. Do samego pobierania faktur zakupowych wystarczy też token z uprawnieniem „przeglądanie faktur”.

Certyfikat offline w praktyce: terminy dosłania faktur

Faktura wystawiona poza KSeF i przekazana nabywcy (np. jako PDF) musi mieć dwa kody QR. Pierwszy prowadzi do faktury, drugi, podpisany certyfikatem offline, potwierdza, że wystawiłeś ją Ty. Fakturę trzeba potem dosłać do KSeF:

Za datę wystawienia uznaje się wtedy datę z pola P_1 faktury, a nie dzień wysłania do KSeF. Gdy faktura dostanie już numer KSeF, drugi kod QR przestaje być potrzebny. Certyfikat offline warto więc mieć zawczasu, bo w dniu awarii KSeF wniosku i tak nie złożysz.

Certyfikat czy token: co wybrać

Dla małej firmy token jest prostszy: generujesz go w Aplikacji Podatnika w dwie minuty, ustawiasz tylko potrzebne uprawnienia (np. samo przeglądanie faktur) i wklejasz do programu. Certyfikat wybierz, gdy wymaga go Twój program albo gdy chcesz wystawiać faktury offline. Obie metody działają równolegle i można mieć jedno i drugie.