Token czy certyfikat KSeF: czym się logować

Jeśli wystawiasz faktury ręcznie w Aplikacji Podatnika, zaloguj się Profilem Zaufanym: jest bezpłatny i wystarcza JDG. Jeśli faktury wysyła program (Fakturownia, inFakt, wFirma, własny ERP), program łączy się z KSeF przez API i potrzebuje tokenu albo certyfikatu KSeF. Profil Zaufany tam nie działa.

Metody logowania w skrócie

Profil Zaufany i e-dowód: logowanie ręczne

Profil Zaufany to bezpłatna tożsamość cyfrowa. Jeśli składałeś PIT przez internet albo logowałeś się do ZUS, pewnie już go masz. Założysz go w kilka minut przez bankowość elektroniczną, aplikację mObywatel, ePUAP (pz.gov.pl) albo w urzędzie.

Daje pełny dostęp do Aplikacji Podatnika (ap.ksef.mf.gov.pl): wystawianie faktur przez formularz, przeglądanie faktur od kontrahentów i nadawanie uprawnień innym osobom, np. biuru rachunkowemu.

E-dowód działa tak samo, o ile masz go aktywowanego do podpisu elektronicznego (jednorazowa wizyta w urzędzie). W praktyce wybiera się go rzadziej, bo Profil Zaufany nie wymaga czytnika kart. Do Aplikacji Podatnika zalogujesz się też przez mObywatel albo bankowość elektroniczną, a e-dowodem przez login.gov.pl.

Podpis i pieczęć kwalifikowana: dla tych, którzy już je mają

Kwalifikowany podpis elektroniczny (standard eIDAS) wydają komercyjni dostawcy, m.in. Certum, Sigillum i EuroCert, w rocznej lub wieloletniej subskrypcji. W KSeF daje taki sam dostęp przez przeglądarkę jak Profil Zaufany, więc ma sens głównie wtedy, gdy używasz go już do e-KRS, przetargów albo umów.

Pieczęć kwalifikowana to odpowiednik podpisu dla osoby prawnej i też jest metodą logowania do KSeF.

Token: najprostszy dostęp dla programu

Token to ciąg znaków, który generujesz w Aplikacji Podatnika i wpisujesz w konfiguracji programu. Nie wymaga infrastruktury certyfikatów. Działa do unieważnienia, ma zakres uprawnień (np. tylko wystawianie albo tylko odczyt), a unieważnisz go jednym kliknięciem, gdy zmienisz dostawcę oprogramowania.

Według rozporządzenia tokeny można stosować do 31 grudnia 2026 r. Ministerstwo Finansów zapowiedziało, że tokeny zostaną dłużej, i zamierza znowelizować rozporządzenie. Na 7 października 2026 zmiana nie jest jeszcze wprowadzona.

MF — podsumowanie konsultacji po częściowym wdrożeniu KSeF

Certyfikat KSeF: typ 1 (uwierzytelnienie) i typ 2 (offline)

Certyfikat to trwalsze poświadczenie do dostępu przez API, pobierane z systemu MF. Lepiej sprawdza się niż token w złożonych wdrożeniach obsługujących wielu podatników. Typy różnią się funkcją, a jeden certyfikat ma jeden typ:

• Typ 1 (w API Authentication) służy do uwierzytelnienia w KSeF.
• Typ 2 (w API Offline) służy do wystawiania faktur w trybie offline.

Biuro rachunkowe czy integrator nie ma więc osobnego typu certyfikatu. Kto i w czyim imieniu może działać, wynika z uprawnień nadanych w KSeF.

Podręcznik KSeF 2.0, cz. I, s. 14 CIRF — certyfikaty KSeF (ksef-docs)

Uprawnienia dla księgowego i kiedy potrzebny ZAW-FA

Uprawnienia, także dla biura rachunkowego, nadajesz elektronicznie w Aplikacji Podatnika KSeF 2.0 albo przez API. To podstawowa droga. Zgłoszenie ZAW-FA w urzędzie skarbowym jest potrzebne tylko wtedy, gdy podatnik nie jest osobą fizyczną i nie ma kwalifikowanej pieczęci albo gdy podpis lub pieczęć nie zawiera NIP lub PESEL.

Zakres ustawiasz sam: tylko odczyt, tylko wystawianie albo pełny dostęp. Ustal go z księgowym i nie dawaj więcej, niż trzeba. Biuro rachunkowe zwykle samo poprosi o uprawnienia i przeprowadzi przez proces.

Rozporządzenie MF, Dz. U. 2025 poz. 1815, §4–5 Podręcznik KSeF 2.0, cz. I, §3.2.3 FAQ MF — uprawnienia i certyfikaty

Co wybrać w Twojej sytuacji

Przy sporadycznym wystawianiu faktur możesz też sprawdzić e-mikrofirmę, bezpłatną aplikację MF dla najmniejszych firm. Zakres obsługi KSeF jest w niej ograniczony i się zmienia, więc zajrzyj na stronę MF przed wyborem.

Resztę przygotowań do obowiązku opisaliśmy w artykule KSeF od 1 kwietnia 2026. Gdy chcesz sprawdzić plik XML przed wysyłką, wrzuć go do walidatora ksefuj.to; działa w przeglądarce, a plik nie opuszcza Twojego komputera.