Certyfikat KSeF: co to jest, typ 1 i typ 2, jak go uzyskać krok po kroku

Certyfikat KSeF to cyfrowe poświadczenie tożsamości wydawane przez Centrum Certyfikacji Ministerstwa Finansów. Służy do logowania programu do fakturowania w KSeF oraz do podpisywania faktur wystawianych offline. Wokół certyfikatu narosło sporo nieporozumień: że od 2027 r. zastąpi token, że nadaje uprawnienia, że jeden wystarczy do wszystkiego. Żadne z nich nie jest prawdziwe. W tym przewodniku wyjaśniamy, czym certyfikat jest, jakie ma typy, kto i gdzie może go uzyskać oraz jak wygląda wniosek krok po kroku.

Czym jest certyfikat KSeF i czym nie jest

Ministerstwo Finansów opisuje certyfikat KSeF jako „cyfrowe narzędzie kryptograficzne potwierdzające tożsamość osoby lub podmiotu”. Technicznie to para kluczy. Klucz prywatny zostaje na komputerze wnioskującego. Klucz publiczny trafia do certyfikatu podpisanego przez Centrum Certyfikacji KSeF. Program, który ma klucz prywatny, może udowodnić systemowi, kto się łączy.

Trzy rzeczy, których certyfikat nie robi:

• Nie nadaje uprawnień. Certyfikat potwierdza tylko tożsamość. To, co dana osoba może zrobić w KSeF, wynika z uprawnień nadanych osobno na jej NIP lub PESEL. MF ujmuje to tak: certyfikaty „stanowią wyłącznie środek uwierzytelnienia w systemie – podobnie jak np. podpis kwalifikowany”.
• Nie jest przypisany do jednej firmy. Ten sam certyfikat działa w każdym kontekście, w którym jego właściciel ma uprawnienia. Księgowa z jednym certyfikatem obsłuży wielu klientów.
• Nie loguje do Aplikacji Podatnika. Certyfikatem nie da się uwierzytelnić w bezpłatnych narzędziach MF. Działa wyłącznie w programach komercyjnych zintegrowanych z API KSeF 2.0, które potrafią złożyć podpis XAdES-BES.

Certyfikat KSeF nie jest też podpisem kwalifikowanym. Podpis kwalifikowany kupuje się u komercyjnego dostawcy i ma moc prawną poza KSeF. Certyfikat KSeF wydaje MF bezpłatnie i działa tylko w KSeF. Podpis kwalifikowany (albo Profil Zaufany) jest natomiast potrzebny, żeby o certyfikat zawnioskować.

Certyfikat KSeF typu 1 i typu 2: przeznaczenie

MF wydaje dwa typy certyfikatu. Jeden certyfikat ma zawsze jeden typ. Nie da się uzyskać dokumentu łączącego obie funkcje; kto potrzebuje obu, składa dwa wnioski. W polu CN certyfikatu widnieje dopisek „uwierzytelnianie” albo „offline”, więc typ można rozpoznać po samym pliku.

W formularzu wniosku typ 1 nazywa się „Uwierzytelnienie w systemie KSeF”, a typ 2 „Podpis linku weryfikacyjnego wystawcy”. W dokumentacji API to Authentication i Offline. Chodzi o te same dwa certyfikaty.

Typ 1 przydaje się każdemu, kto łączy program z KSeF bez tokenu. Typ 2 jest potrzebny wtedy, gdy faktura powstaje poza systemem i trafia do nabywcy z kodem QR. Kto chce fakturować także podczas awarii KSeF, powinien mieć typ 2 gotowy wcześniej.

Od kiedy działa certyfikat KSeF i jak długo jest ważny

Wnioski o certyfikat można składać od 1 listopada 2025 r. Wtedy MF uruchomiło Moduł Certyfikatów i Uprawnień (MCU) pod adresem mcu.mf.gov.pl. MCU było rozwiązaniem przejściowym na okres od listopada 2025 r. do końca stycznia 2026 r. Od 1 lutego 2026 r. wnioskowanie i pobieranie certyfikatów odbywa się w Aplikacji Podatnika KSeF 2.0 oraz przez API KSeF 2.0. Uprawnienia nadane w MCU zostały przeniesione do KSeF 2.0.

Certyfikatem KSeF można uwierzytelnić się w systemie od 1 lutego 2026 r. Od tej samej daty działa oznaczanie faktur offline kodem opartym na certyfikacie typu 2. Certyfikat wydany w MCU w listopadzie 2025 r. nabrał mocy dopiero 1 lutego 2026 r.

Ważność: nie dłużej niż 2 lata. Okres liczy się od daty początkowej wskazanej we wniosku, a jeśli jej nie podano, od daty wydania. Data początkowa nie może być wcześniejsza niż moment złożenia wniosku, może być natomiast późniejsza. Przed datą początkową certyfikat nie działa. MF zaleca, żeby przy kolejnym wniosku wskazać jako datę początkową dzień po wygaśnięciu poprzedniego certyfikatu. Wtedy nie ma przerwy w pracy i nie ma dwóch aktywnych certyfikatów naraz, co ma znaczenie przy limitach.

Kto może uzyskać certyfikat KSeF

O certyfikat wnioskuje się wyłącznie we własnym imieniu. Dane do wniosku system pobiera ze środka uwierzytelnienia użytego przy logowaniu. Nie da się ich zmienić ani złożyć wniosku za kogoś.

Wnioskować może:

• osoba fizyczna z NIP, na przykład przedsiębiorca na JDG; certyfikat zawiera jej NIP,
• osoba fizyczna z PESEL, na przykład pracownik lub księgowa, pod warunkiem że ma jakiekolwiek uprawnienie w KSeF; certyfikat zawiera jej PESEL,
• spółka lub inny podmiot z NIP, po uwierzytelnieniu kwalifikowaną pieczęcią elektroniczną; certyfikat zawiera NIP spółki, bez danych żadnej osoby,
• osoba lub podmiot bez NIP i PESEL w podpisie, na przykład z zagranicy; certyfikat wydaje się na dane unikalne powiązane z odciskiem podpisu użytego do uwierzytelnienia.

Do logowania przed wnioskiem służy Profil Zaufany, kwalifikowany podpis elektroniczny lub kwalifikowana pieczęć elektroniczna. Kto ma już certyfikat KSeF typu 1, może uwierzytelnić się nim w programie i przez API zawnioskować o kolejny.

Identyfikator ze środka logowania decyduje, na kogo zostanie wystawiony certyfikat. Jeśli wspólnik spółki zaloguje się Profilem Zaufanym, dostanie certyfikat na swój PESEL, a nie na spółkę. Certyfikat na NIP spółki wydaje się tylko po pieczęci kwalifikowanej.

Różnica ma skutki w praktyce. Certyfikat osoby fizycznej jest osobisty i nie wolno go udostępniać innym. Certyfikat spółki nie jest przypisany do osoby; spółka może wydać ich wiele (na przykład osobny dla każdego oddziału) i przekazać wybranym pracownikom. Faktura wystawiona certyfikatem spółki pokaże w KSeF dane spółki. Faktura wystawiona certyfikatem pracownika pokaże dane tej osoby działającej w imieniu spółki. Za rejestr, kto dostał który certyfikat, odpowiada podmiot.

Biuro rachunkowe ma dwie drogi. Każda księgowa wnioskuje o własny certyfikat na PESEL i loguje się nim w kontekście klientów, którzy nadali jej uprawnienia. Albo biuro jako spółka wydaje certyfikaty firmowe po pieczęci i rozdziela je w zespole. Klient nie musi nadawać uprawnień każdej osobie osobno: może nadać je biuru jako podmiotowi z prawem dalszego delegowania.

Jak uzyskać certyfikat KSeF krok po kroku

Procedura poniżej pochodzi z podręcznika użytkownika Aplikacji Podatnika KSeF 2.0 w aktualnej wersji.

1. Zaloguj się do Aplikacji Podatnika KSeF 2.0 w kontekście, dla którego ma powstać certyfikat. Użyj Profilu Zaufanego, podpisu kwalifikowanego lub pieczęci kwalifikowanej. Sprawdź, czy to właściwy identyfikator: NIP spółki albo własny PESEL.
2. Wejdź w menu „Certyfikaty” i wybierz „Wnioskuj o certyfikat”.
3. Wypełnij formularz generowania klucza. Podaj nazwę certyfikatu (od 5 do 100 znaków; pod tą nazwą zostaną zapisane pliki) oraz hasło zabezpieczające klucz prywatny: od 15 do 32 znaków, wielka i mała litera bez polskich znaków, cyfra i znak specjalny. Powtórz hasło i kliknij „Generuj”.
4. Zapisz plik z kluczem prywatnym. Przeglądarka zapisze go jako plik .key o podanej nazwie. Hasła nie da się zresetować, a klucza nie da się ponownie pobrać z KSeF. Obie rzeczy przechowuj jak dane logowania do banku.
5. Na ekranie „Przesłanie wniosku” wybierz przeznaczenie: „Uwierzytelnienie w systemie KSeF” (typ 1) albo „Podpis linku weryfikacyjnego wystawcy” (typ 2). W polu „Certyfikat ważny od” system podstawi dzisiejszą datę; można ją przesunąć w przyszłość. Kliknij „Wyślij wniosek o wydanie certyfikatu”.
6. Poczekaj na wydanie. Proces trwa zwykle kilka minut. Przycisk „Odśwież” pokazuje, czy certyfikat jest gotowy.
7. Pobierz certyfikat przyciskiem „Pobierz certyfikat”. Otrzymasz plik .crt w formacie PEM. Certyfikat można też pobrać później z „Listy certyfikatów”, ale tylko w statusie „Aktywny”.
8. Wgraj oba pliki do programu do fakturowania razem z hasłem. Od tej chwili program loguje się do KSeF certyfikatem.

Po pobraniu sprawdź dane w certyfikacie. Jeśli są błędne, MF prosi o zgłoszenie przez wsparcie KSeF.

Certyfikat KSeF offline: kod QR II

Faktura wystawiona w trybie offline24, w czasie niedostępności systemu albo podczas awarii trafia do KSeF później. Jeśli nabywca dostał ją wcześniej poza systemem (PDF, wydruk), musi mieć możliwość sprawdzenia, kto ją wystawił. Do tego służy drugi kod QR na wizualizacji faktury.

Kod QR I prowadzi do weryfikacji faktury w KSeF po jej przesłaniu. Kod QR II zawiera link podpisany kluczem prywatnym certyfikatu typu 2. W linku są: NIP kontekstu, NIP sprzedawcy, numer seryjny certyfikatu i skrót SHA-256 faktury. Bez klucza prywatnego nikt nie wygeneruje poprawnego kodu. Nabywca skanuje kod, a strona MF potwierdza autentyczność wystawcy i jego prawo do wystawienia faktury w imieniu sprzedawcy.

Wniosek dla biura: certyfikat typu 2 trzeba mieć wcześniej. Podczas awarii nie da się o niego zawnioskować, bo wniosek składa się w systemie, który właśnie nie działa. Terminy dosłania faktur opisujemy w artykule o trybach offline KSeF, a budowę obu kodów w tekście o kodzie QR na fakturze.

Certyfikat a token: co wybrać

Token KSeF i certyfikat typu 1 służą do tego samego: program loguje się do KSeF bez udziału człowieka. Różnią się konstrukcją.

Token to ciąg znaków generowany w Aplikacji Podatnika w konkretnym kontekście, z uprawnieniami zadeklarowanymi w chwili generowania. Nie ma daty ważności. Zmiana uprawnień wymaga nowego tokenu. Jeden token działa dla jednej firmy.

Certyfikat nie niesie uprawnień, działa w wielu kontekstach, jest ważny do 2 lat i podlega limitom liczby. Wymaga programu, który potrafi podpisać żądanie XAdES-BES kluczem prywatnym.

Przez długi czas odpowiedź brzmiała: „token, ale tylko do końca 2026 r.”. Ta odpowiedź jest nieaktualna. Tokeny według pierwotnych założeń miały być dostępne do końca 2026 r. MF zdecydowało jednak o utrzymaniu metody tokenowej, a rozporządzenie w sprawie korzystania z KSeF ma zostać w tym zakresie znowelizowane. Informacja pochodzi z oficjalnej strony MF o certyfikatach KSeF, zaktualizowanej 1 września 2026 r. Metoda zostaje, ale żaden token nie będzie bezterminowy: według zapowiedzi Centrum Informatyki Resortu Finansów z 10 września 2026 r. (wątek CIRF), powtórzonej przez MF na kongresie biur rachunkowych 29 i 30 września 2026 r., tokeny wydane do końca 2026 r. mają działać do 30 listopada 2027 r., a nowe będą zawsze miały termin ważności. Nikt nie musi migrować na certyfikaty z końcem 2026 r.

Co więc wybrać?

• Token, jeśli program wysyła faktury jednej firmy i nie wystawia ich offline. Prostsza konfiguracja, bez plików i haseł. Tak domyślnie działa FakturaFlow: token klienta wkleja się raz w Ustawieniach, a system wysyła hurtowo faktury z PDF, Excela, XML, Stripe lub Chargebee i sam odbiera UPO. Od 23 września 2026 r. zamiast tokenu można tam zapisać także certyfikat KSeF do uwierzytelniania (plik certyfikatu i klucz prywatny). FakturaFlow nie tworzy faktur i nie wystawia faktur offline. Jak wygenerować token, opisujemy w osobnym poradniku.
• Certyfikat typu 1, jeśli jedna osoba obsługuje wiele firm z jednego programu albo firma chce wydać pracownikom osobne poświadczenia i widzieć na liście datę ostatniego użycia każdego z nich.
• Certyfikat typu 2 niezależnie od powyższego, jeśli faktury mają powstawać także wtedy, gdy KSeF nie działa.

Token i certyfikat mogą współistnieć. Ten sam podatnik może mieć token w jednym programie i certyfikat w drugim.

Unieważnienie, odnowienie i limity

Certyfikat unieważnia tylko jego właściciel, po zalogowaniu środkiem zawierającym ten sam identyfikator. W „Liście certyfikatów” zaznacza się certyfikat, klika „Unieważnij” i podaje powód: „Certyfikat został zastąpiony nowym”, „Bezpieczeństwo klucza prywatnego związane z certyfikatem zostało naruszone” albo „Powód unieważnienia nie jest określony”. Status zmienia się na „Zablokowany” (w trakcie) lub od razu na „Unieważniony”. Unieważnienie certyfikatu typu 1, którym ktoś jest właśnie zalogowany, przerywa jego sesję.

Odnowienia nie ma. Po upływie 2 lat składa się nowy wniosek tą samą drogą. Warto zrobić to wcześniej i wskazać datę początkową jako dzień po wygaśnięciu starego certyfikatu.

Limity opisuje Podręcznik KSeF 2.0 (cz. I). Osoba fizyczna z PESEL może mieć najwyżej 2 aktywne certyfikaty i 2 kolejne do użycia po wygaśnięciu obecnych. Osoba fizyczna z NIP oraz podmiot z NIP: do 100 aktywnych i 100 kolejnych. Osobno liczy się liczba żądań w 30 dniach: 6 dla PESEL, 300 dla NIP, 6 dla danych unikalnych. Kto sześć razy wyda i unieważni certyfikat na PESEL, przy siódmej próbie dostanie komunikat o przekroczeniu limitu i poczeka 30 dni od pierwszego żądania.

Odebranie uprawnień nie unieważnia certyfikatu. Jeśli klient odbierze księgowej dostęp, jej certyfikat dalej działa u pozostałych klientów. Gdy odbiorą wszyscy, certyfikat pozwoli zalogować się tylko we własnym kontekście.

Najczęstsze problemy z certyfikatem KSeF

Certyfikat wystawiony na PESEL zamiast na NIP spółki. Zalogowano się Profilem Zaufanym, więc system wydał certyfikat osobisty. Certyfikatu nie da się przepisać. Trzeba zalogować się pieczęcią kwalifikowaną spółki i złożyć nowy wniosek, a stary unieważnić.

Zgubione hasło lub plik .key. MF nie resetuje hasła i nie przechowuje klucza prywatnego. Ponowne pobranie pliku .crt nic nie da. Unieważnij certyfikat z powodem naruszenia bezpieczeństwa klucza i wystąp o nowy.

Komunikat o przekroczeniu liczby żądań. Osiągnięto limit 30-dniowy. Kolejny wniosek będzie możliwy po 30 dniach od pierwszego żądania. Nie testuj procesu przez wielokrotne wydawanie i unieważnianie certyfikatów.

„Certyfikat KSeF nie został wydany”. Błąd po stronie systemu. Złóż wniosek ponownie. Jeśli błąd się powtórzy, użyj opcji „Skontaktuj się z nami” w stopce aplikacji albo formularza na ksef.podatki.gov.pl.

Program nie loguje się certyfikatem, choć jest aktywny. Sprawdź trzy rzeczy: czy data „Ważny od” nie jest w przyszłości, czy właściciel certyfikatu ma uprawnienie w kontekście, do którego program się loguje, i czy w programie wskazano certyfikat typu 1, a nie typu 2. Certyfikat offline nie służy do logowania.

Próba zalogowania się certyfikatem do Aplikacji Podatnika. To nie zadziała i nie jest błędem. Certyfikat działa tylko w programach zintegrowanych z API. Do Aplikacji Podatnika loguje się Profilem Zaufanym, podpisem lub pieczęcią.

Długie logowanie podpisem kwalifikowanym przy składaniu wniosku. KSeF sprawdza ważność podpisu u jego wystawcy, czyli w centrum certyfikacji. Opóźnienie wynika z usług zewnętrznych, nie z KSeF.

Najczęstsze pytania

Do czego służy certyfikat KSeF typu 1, a do czego typu 2?

Typ 1 służy do uwierzytelnienia w KSeF z programu zintegrowanego z API, w sesji interaktywnej i wsadowej. Typ 2 służy wyłącznie do podpisania linku w kodzie QR II na fakturach wystawianych offline i nie pozwala się zalogować. W formularzu wniosku typ 1 to „Uwierzytelnienie w systemie KSeF”, a typ 2 to „Podpis linku weryfikacyjnego wystawcy”.

Od kiedy certyfikatem KSeF można uwierzytelnić się w systemie?

Od 1 lutego 2026 r. Wnioski przyjmowano wcześniej, od 1 listopada 2025 r. w MCU, ale certyfikaty nabrały mocy razem ze startem KSeF 2.0. Od 1 lutego 2026 r. wnioski składa się w Aplikacji Podatnika KSeF 2.0 lub przez API.

Czy certyfikat KSeF jest płatny i jak długo jest ważny?

Certyfikat wydaje bezpłatnie Centrum Certyfikacji KSeF w Ministerstwie Finansów. Jest ważny nie dłużej niż 2 lata od daty początkowej wskazanej we wniosku lub od daty wydania. Po tym czasie składa się nowy wniosek.

Czy token KSeF przestanie działać w 2027 r.?

Nie. Pierwotnie tokeny miały działać do końca 2026 r. Według aktualnej informacji MF (stan na 3 października 2026 r.) metoda tokenowa zostanie utrzymana, a rozporządzenie w sprawie korzystania z KSeF ma zostać znowelizowane. Według zapowiedzi tokeny wydane do końca 2026 r. mają działać do 30 listopada 2027 r., a nowe będą miały termin ważności. Certyfikat typu 1 jest alternatywą dla tokenu, nie jego obowiązkowym następcą.

Podsumowanie

Certyfikat KSeF to bezpłatne poświadczenie tożsamości od MF, ważne do 2 lat, wydawane we własnym imieniu po zalogowaniu Profilem Zaufanym, podpisem lub pieczęcią. Typ 1 loguje program do KSeF, typ 2 podpisuje kod QR na fakturach offline. Certyfikat nie nadaje uprawnień, działa w wielu kontekstach i nie loguje do Aplikacji Podatnika. Token nie znika w 2027 r., więc wybór między nim a certyfikatem zależy od sposobu pracy, a nie od kalendarza. Jedno pozostaje pilne: certyfikat typu 2 trzeba wydać przed awarią, nie w jej trakcie.

Stan na 16 września 2026 r., według informacji Ministerstwa Finansów i podręczników KSeF 2.0.

Artykuł ma charakter informacyjny i nie stanowi porady podatkowej ani prawnej.