Token czy certyfikat KSeF w 2027 roku? Co wybrać i czym się różnią?

Token czy certyfikat KSeF – co wybrać do wystawiania i odbierania faktur w 2027 roku? Oba rozwiązania służą do korzystania z Krajowego Systemu e-Faktur, ale działają inaczej. Ministerstwo Finansów zapowiedziało utrzymanie tokenów także po 2026 roku, a jednocześnie rozwija certyfikaty KSeF. Wyjaśniamy, co już obowiązuje, co dopiero przewidują projektowane przepisy i jak dobrać metodę uwierzytelniania do potrzeb firmy.

Czy tokeny KSeF zostaną wycofane od 1 stycznia 2027 roku?

To najważniejsze pytanie dla przedsiębiorców, którzy korzystają z programu księgowego zintegrowanego z KSeF. Pierwotne przepisy przewidywały możliwość uwierzytelniania tokenami do 31 grudnia 2026 roku. W związku z postulatami przedsiębiorców i dostawców oprogramowania Ministerstwo Finansów zmieniło jednak swoje plany: zapowiedziało utrzymanie tokenów jako jednej z metod dostępu do KSeF również w kolejnych latach.

Na 13 listopada 2026 roku przedłużenie nie zostało jeszcze ostatecznie wprowadzone do obowiązującego rozporządzenia. Projekt nowelizacji znajduje się w toku prac legislacyjnych. Oznacza to, że nie należy ani przesądzać o definitywnym wycofaniu tokenów, ani traktować zapowiedzi resortu jak już obowiązującej regulacji.

Aktualne informacje o stanowisku Ministerstwa Finansów można znaleźć na oficjalnej stronie KSeF dotyczącej certyfikatów i tokenów.

Czym jest token KSeF i do czego służy?

Token KSeF to wygenerowany w systemie ciąg znaków, który pozwala uwierzytelnić się w KSeF za pośrednictwem programu zintegrowanego z jego API. Dzięki niemu oprogramowanie może wykonywać określone operacje bez konieczności każdorazowego logowania się przez Profil Zaufany lub podpis kwalifikowany.

Token jest związany z konkretnym kontekstem działania w KSeF oraz zakresem uprawnień określonym podczas jego tworzenia. Można na przykład przygotować token przeznaczony do wystawiania faktur albo token umożliwiający ich pobieranie – o ile osoba generująca ma odpowiednie uprawnienia.

Najważniejsze zalety tokena KSeF

• Prosta konfiguracja: w wielu programach wystarczy wygenerować token i dodać go w ustawieniach integracji z KSeF.
• Automatyzacja pracy: program może komunikować się z systemem bez ręcznego potwierdzania każdej operacji.
• Możliwość ograniczenia dostępu: oddzielne tokeny można przeznaczyć do różnych zadań i systemów.
• Wygoda dla małej firmy: rozwiązanie jest stosunkowo proste w codziennym użyciu, zwłaszcza gdy przedsiębiorca sam obsługuje faktury.

Jakie są zagrożenia związane z tokenem?

Token należy traktować jak poufne dane dostępowe. Osoba, która go pozyska, może próbować wykorzystać przypisane do niego uprawnienia. Dlatego nie powinno się wysyłać tokenów w zwykłych wiadomościach, umieszczać ich w publicznym kodzie ani udostępniać nieupoważnionym osobom.

Warto też pamiętać, że token nie jest narzędziem do wystawiania faktur w trybie offline i nie zastępuje certyfikatu KSeF wymaganego do potwierdzania tożsamości wystawcy w przewidzianych przepisami sytuacjach.

Czym jest certyfikat KSeF?

Certyfikat KSeF to cyfrowe poświadczenie wydawane w systemie Ministerstwa Finansów. Wykorzystuje mechanizmy kryptograficzne i może służyć do uwierzytelniania w KSeF albo do potwierdzania tożsamości wystawcy faktury w trybach szczególnych. W tym celu przewidziano dwa odrębne rodzaje certyfikatów.

Certyfikat KSeF typu 1 – do uwierzytelniania

Certyfikat typu 1 pozwala potwierdzić tożsamość osoby lub podmiotu podczas łączenia z KSeF za pomocą kompatybilnego oprogramowania. Sam certyfikat nie zawiera stałego zestawu uprawnień. System sprawdza uprawnienia przypisane do identyfikatora osoby lub firmy, która się nim posługuje.

To ważna różnica w porównaniu z tokenem: przy zmianie zakresu uprawnień certyfikat uwierzytelniający nie musi być z tego powodu generowany od nowa.

Certyfikat KSeF typu 2 – do faktur offline

Certyfikat typu 2 służy do potwierdzania tożsamości wystawcy faktury w trybach szczególnych, takich jak offline24, offline z powodu niedostępności systemu czy tryb awaryjny. Jest wykorzystywany do przygotowania oznaczenia pozwalającego zweryfikować wystawcę faktury.

Certyfikat typu 1 i certyfikat typu 2 są wydawane oddzielnie. Sam token albo certyfikat typu 1 nie zastępuje certyfikatu typu 2 tam, gdzie ten ostatni jest wymagany.

Czy certyfikat KSeF jest tym samym co płatna pieczęć kwalifikowana?

Nie. To dwa różne rozwiązania. Certyfikat KSeF wydaje system Ministerstwa Finansów, natomiast kwalifikowaną pieczęć elektroniczną uzyskuje się od kwalifikowanego dostawcy usług zaufania. Pieczęć może służyć m.in. do uwierzytelnienia podmiotu w KSeF i uzyskania certyfikatu KSeF, ale nie należy utożsamiać obu narzędzi ani ich kosztów.

Przedsiębiorca prowadzący jednoosobową działalność gospodarczą może uzyskać dostęp do KSeF, korzystając z dostępnych dla niego metod identyfikacji, np. Profilu Zaufanego. Nie musi kupować kwalifikowanej pieczęci tylko po to, żeby rozpocząć korzystanie z KSeF.

Certyfikat KSeF jest ważny przez okres nie dłuższy niż dwa lata. Po upływie ważności trzeba uzyskać kolejny.

Token a certyfikat KSeF – najważniejsze różnice

Oba rozwiązania umożliwiają współpracę programu księgowego z KSeF, jednak różnią się sposobem działania i zakresem zastosowań.

• Sposób uwierzytelniania: token jest poufnym ciągiem znaków, natomiast certyfikat typu 1 wykorzystuje mechanizm kryptograficzny z kluczem prywatnym.
• Uprawnienia: podczas generowania tokena określa się zakres uprawnień, z jakimi jest powiązany. Certyfikat typu 1 potwierdza tożsamość, a aktualne uprawnienia weryfikuje sam KSeF.
• Ważność: certyfikat KSeF obowiązuje maksymalnie dwa lata. Dla tokenów resort przygotował projekt nowych zasad ważności na 2027 rok.
• Obsługa offline: wymagane oznaczenie faktury offline zapewnia certyfikat KSeF typu 2, a nie token.
• Wdrożenie: token bywa łatwiejszy do skonfigurowania, podczas gdy certyfikat wymaga obsługi odpowiednich plików i klucza prywatnego przez program.
• Bezpieczeństwo: w obu przypadkach konieczna jest ochrona danych dostępowych. Certyfikat nie daje bezpieczeństwa automatycznie, jeśli jego klucz prywatny jest niewłaściwie przechowywany.

Token czy certyfikat KSeF – co wybrać dla swojej firmy?

Jednoosobowa działalność gospodarcza i mikroprzedsiębiorca

Jeśli wystawiasz kilka lub kilkadziesiąt faktur miesięcznie, najważniejsze będą prostota konfiguracji oraz obsługa KSeF przez Twój program. Token może być wygodnym sposobem połączenia, o ile dopuszczają go obowiązujące przepisy i obsługuje go używana wersja oprogramowania. Warto równolegle przygotować certyfikat typu 2, jeśli chcesz korzystać z funkcji wymagających potwierdzania tożsamości wystawcy w trybach offline.

Mała lub średnia firma z kilkoma systemami

Jeśli faktury obsługują osobno system sprzedażowy, magazynowy i księgowy, istotne staje się rozdzielenie dostępu. Nie należy używać jednego tokena z maksymalnymi uprawnieniami we wszystkich aplikacjach. Można stosować odrębne tokeny lub certyfikaty, w zależności od możliwości oprogramowania, a uprawnienia przydzielać zgodnie z rzeczywistymi potrzebami.

Duże przedsiębiorstwo z rozbudowanym ERP

Przy dużej liczbie dokumentów warto przeanalizować uwierzytelnianie certyfikatem typu 1, zasady przechowywania klucza prywatnego, monitorowanie ważności certyfikatów oraz procedury awaryjne. Nie oznacza to, że token jest z definicji niewłaściwy dla większej firmy – znaczenie mają architektura systemu, zabezpieczenia i sposób zarządzania dostępem.

Biuro rachunkowe obsługujące wielu klientów

W przypadku biura rachunkowego podstawą powinno być prawidłowe nadanie uprawnień przez klientów. Przedsiębiorca może upoważnić biuro do wystawiania faktur lub dostępu do nich, wskazując NIP biura w KSeF. Jeśli zezwoli na dalsze przekazywanie uprawnień, biuro może je odpowiednio delegować swoim pracownikom.

To rozwiązanie jest zwykle lepsze organizacyjnie niż przekazywanie biuru osobistych danych uwierzytelniających właściciela firmy. Pozwala uporządkować dostęp i odebrać go po zakończeniu współpracy.

Jak uzyskać token lub certyfikat KSeF?

Generowanie tokena KSeF

Aby przygotować token do programu księgowego:

• Zaloguj się do Aplikacji Podatnika KSeF 2.0, używając dostępnej dla Ciebie metody uwierzytelnienia.
• Sprawdź, czy działasz we właściwym kontekście firmy i masz wymagane uprawnienia.
• Przejdź do zarządzania tokenami, nadaj tokenowi nazwę i określ potrzebny zakres uprawnień.
• Wygeneruj token i zapisz go w bezpiecznym miejscu zgodnie z instrukcją programu.
• Dodaj token do oprogramowania obsługującego tę metodę i przetestuj połączenie z KSeF.

Token służy do uwierzytelniania w aplikacjach korzystających z API KSeF. Nie jest metodą logowania do samej Aplikacji Podatnika KSeF.

Uzyskanie certyfikatu KSeF

O certyfikat można wnioskować w Aplikacji Podatnika KSeF 2.0 lub za pomocą odpowiednio zintegrowanego rozwiązania korzystającego z API. Po uwierzytelnieniu należy złożyć wniosek o wybrany typ certyfikatu, zabezpieczyć klucz prywatny oraz pobrać wydany certyfikat. Jeśli potrzebujesz zarówno uwierzytelniania, jak i obsługi trybów offline, wystąp osobno o certyfikaty typu 1 i 2.

Szczegółowy opis procesu udostępnia Ministerstwo Finansów w serwisie Certyfikaty KSeF.

Jak bezpiecznie korzystać z tokenów i certyfikatów KSeF?

Bez względu na wybraną metodę, warto wdrożyć kilka podstawowych zasad:

• Ograniczaj uprawnienia do zakresu niezbędnego do wykonywania konkretnych zadań.
• Nie przekazuj tokenów ani kluczy prywatnych przypadkowym osobom i nie publikuj ich w repozytoriach kodu, wiadomościach czy ogólnodostępnych plikach.
• Kontroluj ważność certyfikatów i zaplanuj ich odnowienie, zanim przestaną działać.
• Unieważniaj dostęp po zakończeniu współpracy z pracownikiem lub dostawcą usług oraz w razie podejrzenia ujawnienia danych.
• Korzystaj z aktualnej wersji programu zgodnej z KSeF 2.0 i sprawdzaj komunikaty Ministerstwa Finansów dotyczące zmian w API i metodach uwierzytelniania.

Najczęstszy błąd to traktowanie raz skonfigurowanego połączenia jako rozwiązania, które nie wymaga już żadnej kontroli. W praktyce należy okresowo sprawdzać ważność danych dostępowych, zakres uprawnień i poprawność wymiany faktur.

KSeF w Małej Księgowości Rzeczpospolitej

Nie trzeba budować własnego połączenia z API KSeF, aby wystawiać i księgować faktury ustrukturyzowane. Mała Księgowość Rzeczpospolitej oferuje integrację z KSeF 2.0, dzięki której można wystawiać, wysyłać, pobierać i księgować faktury w jednym programie.

Przed konfiguracją sprawdź dostępne w swojej wersji programu metody uwierzytelniania i wymagane ustawienia. Pomocne informacje znajdziesz w odpowiedziach na pytania o integrację MK z KSeF oraz w instrukcji Małej Księgowości.

Jeśli dopiero wybierasz program do fakturowania, zobacz także rozwiązanie do wystawiania faktur z KSeF.

Najczęstsze pytania o tokeny i certyfikaty KSeF

Czy token KSeF będzie działał w 2027 roku?

Ministerstwo Finansów zapowiedziało utrzymanie tokenów po 2026 roku, a projekt rozporządzenia przewiduje zasady ich dalszego używania. Na 13 listopada 2026 roku zmiana nie została jednak jeszcze ogłoszona jako obowiązujące prawo. Przed planowaniem pracy w 2027 roku należy sprawdzić opublikowane przepisy.

Czy certyfikat KSeF jest obowiązkowy dla każdej firmy?

Nie każdy przedsiębiorca musi używać certyfikatu typu 1 do uwierzytelniania. Metoda zależy od sposobu korzystania z KSeF. Certyfikat typu 2 jest natomiast wymagany przy określonych sposobach oznaczania faktur wystawianych w trybach szczególnych offline.

Czy można mieć jednocześnie token i certyfikat KSeF?

Tak. Token i certyfikat typu 1 mogą być alternatywnymi metodami uwierzytelniania, a certyfikat typu 2 ma inne zadanie – służy do obsługi określonych sytuacji offline.

Czy certyfikat KSeF zastępuje Profil Zaufany?

Nie w każdej sytuacji. Certyfikat typu 1 służy do uwierzytelniania w programach zintegrowanych z API KSeF. Do wejścia do Aplikacji Podatnika KSeF można korzystać z innych obsługiwanych metod identyfikacji, np. Profilu Zaufanego.

Czy biuro rachunkowe musi otrzymać token klienta?

Nie. Klient może nadać uprawnienia biuru rachunkowemu w KSeF, wskazując jego NIP. Biuro następnie korzysta z własnego modelu dostępu w zakresie przyznanych uprawnień.

Podsumowanie – co wybrać na 2027 rok?

Nie ma jednej metody uwierzytelniania najlepszej dla wszystkich firm. Token jest wygodny w integracjach wymagających prostego dostępu do KSeF, certyfikat typu 1 umożliwia uwierzytelnianie kryptograficzne, a certyfikat typu 2 odpowiada za potwierdzanie tożsamości wystawcy w określonych trybach offline.

Wybierając sposób dostępu, uwzględnij wielkość firmy, możliwości programu księgowego, organizację uprawnień i bezpieczeństwo danych. Szczególną uwagę zwróć na ostateczne przepisy dotyczące tokenów na 2027 rok – w listopadzie 2026 roku ich przedłużenie pozostaje jeszcze na etapie projektu.

Stan informacji: 13 listopada 2026 r. Źródła: Ministerstwo Finansów – certyfikaty KSeF, MF – pytania i odpowiedzi KSeF 2.0, rozporządzenie w sprawie korzystania z KSeF, informacja MF o konsultacjach zmian. Stan projektu nowelizacji może ulec zmianie po publikacji artykułu.