Token KSeF to klucz autoryzacyjny, który pozwala biuru rachunkowemu wysyłać faktury w imieniu klienta. Bez niego program musiałby logować się inną metodą, na przykład certyfikatem KSeF. W tym przewodniku pokazujemy krok po kroku, jak token wygenerować, gdzie go wkleić oraz co zrobić, gdy przestanie działać.
Czym jest token KSeF?
Token KSeF to długi ciąg znaków (kilkadziesiąt liczb i liter) wydawany przez Ministerstwo Finansów konkretnemu podatnikowi. Token działa jak hasło aplikacyjne: pozwala dowolnemu systemowi zewnętrznemu (np. FakturaFlow) wykonywać operacje w KSeF w imieniu danego NIP, bez konieczności znajomości hasła do konta podatnika.
Format tokenu jest stały: YYYYMMDD-EC-HEX-HEX-NN|nip-XXXXXXXXXX|HEX. Pierwszy człon zawiera datę wystawienia, drugi typ (EC oznacza token), trzeci identyfikator. Środkowa sekcja (po pionowej kresce) potwierdza, do jakiego NIP-u token jest powiązany.
Po co biuro rachunkowe potrzebuje tokenu klienta?
Biuro rachunkowe wystawia faktury w imieniu wielu klientów, ale każda z nich musi trafić do KSeF z autoryzacją tego konkretnego klienta (jego NIP). Bez tokenu (albo certyfikatu KSeF) biuro musiałoby logować się do Aplikacji Podatnika KSeF osobno dla każdego klienta i ręcznie wgrywać pliki XML. Z tokenem wystarczy wkleić go raz w programie, a dalsza wysyłka nie wymaga już logowania klienta.
Krok po kroku: generowanie tokenu w Aplikacji Podatnika KSeF
Token może wygenerować właściciel firmy (osoba fizyczna prowadząca działalność lub osoba uprawniona w spółce) po zalogowaniu się do Aplikacji Podatnika KSeF. Jeśli to klient biura, najczęstszy scenariusz to przesłanie mu instrukcji. W skrócie:
- Klient otwiera Aplikację Podatnika KSeF pod adresem ap.ksef.mf.gov.pl i loguje się profilem zaufanym, bankowością elektroniczną, e-dowodem albo podpisem kwalifikowanym. Strona ksef.podatki.gov.pl to tylko serwis informacyjny Ministerstwa Finansów, tokenu się tam nie generuje.
- Wybiera kontekst NIP swojej firmy (jeśli ma kilka kontekstów).
- W menu wybiera „Tokeny”, a potem „Generuj token”.
- Wpisuje nazwę tokenu (na przykład „FakturaFlow”) i zaznacza uprawnienia: „Wystawianie faktur”, „Przeglądanie faktur” i „Przeglądanie historii sesji”. Pełne uprawnienia są niepotrzebne i zwiększają ryzyko w razie wycieku.
- Po kliknięciu „Generuj token” aplikacja wyświetli token jednorazowo. Klient musi go skopiować od razu, ponieważ system nie pozwoli zobaczyć go ponownie.
- Klient przesyła token do biura, najlepiej kanałem szyfrowanym (np. komunikatorem z szyfrowaniem end-to-end, nie zwykłym e-mailem).
Zakresy uprawnień tokenu
Token można wygenerować z różnymi zakresami uprawnień. Najczęściej spotykane:
- Wystawianie faktur pozwala wysyłać faktury do KSeF w imieniu klienta. To podstawowe uprawnienie wymagane przez biuro rachunkowe.
- Przeglądanie faktur pozwala pobierać faktury z KSeF, w tym faktury zakupowe, na których firma jest nabywcą.
- Przeglądanie historii sesji pozwala pobierać UPO, czyli Urzędowe Poświadczenia Odbioru wysłanych faktur. Razem z wystawianiem faktur zapewnia pełny obieg dokumentu.
- Zarządzanie uprawnieniami pozwala nadawać innym użytkownikom dostęp do KSeF danego podatnika. To uprawnienie tylko dla właściciela. Biuro nie powinno o nie prosić.
Jak długo ważny jest token?
Wygenerowany token KSeF pozostaje ważny do czasu jego unieważnienia przez właściciela (źródło: MF FAQ KSeF 2.0). Token nie ma więc sztywnej daty wygaśnięcia liczonej w dniach, ale jest automatycznie unieważniany w chwili utraty powiązanych z nim uprawnień. W środowisku testowym ważność tokenu wynosi około 24 godzin, co czasem zaskakuje deweloperów testujących integrację.
To się jednak zmieni. Według zapowiedzi Ministerstwa Finansów token będzie miał termin ważności. Opisujemy to w następnej sekcji.
Tokeny po 2026 r.: zostają, ale mają dostać termin ważności
Pierwotnie tokeny miały działać tylko do końca 2026 r., a od 1 stycznia 2027 r. miały zostać wyłącznie certyfikaty KSeF. Ministerstwo Finansów zmieniło tę decyzję. Na stronie o certyfikatach KSeF podaje: „Tokeny wg pierwotnych założeń miały być dostępne jako metoda uwierzytelnienia do końca 2026 r. Zgodnie jednak z decyzją Ministerstwa Finansów, uwzględniającą potrzeby przedsiębiorców i dostawców oprogramowania (...) zostaną utrzymane bezterminowo” (źródło: MF, Certyfikaty KSeF). Rozporządzenie w sprawie korzystania z KSeF ma zostać w tym zakresie znowelizowane.
Bezterminowo ma zostać metoda, a nie pojedynczy token. Według zapowiedzi Centrum Informatyki Resortu Finansów z 10 września 2026 r. (wątek CIRF), powtórzonej przez MF na kongresie biur rachunkowych 29 i 30 września 2026 r., tokeny wydane do końca 2026 r. mają nadal działać, ale tylko do 30 listopada 2027 r. Nowe tokeny będą dostępne stale, lecz zawsze z terminem ważności. W odpowiedzi z 15 września 2026 r. na interpelację poselską nr 19230 ministerstwo opisuje swoją propozycję: tokeny mają być dostępne również po 31 grudnia 2026 r., z terminem ważności od 1 do 365 dni oraz z możliwością automatycznego odnowienia tokenu, po uprzedniej zgodzie właściciela. Terminu wdrożenia jeszcze nie ma. Według ministerstwa trwają wewnętrzne uzgodnienia, a harmonogram zostanie podany w komunikatach i w dokumentacji technicznej.
W praktyce stan na dziś wygląda tak:
- Od 1 lutego 2026 r. tokeny i certyfikaty KSeF działają równolegle.
- Po 31 grudnia 2026 r. metoda tokenowa zostaje (decyzja MF), a obecne tokeny mają działać do 30 listopada 2027 r. (zapowiedź). Nowelizacja rozporządzenia jeszcze nie weszła w życie.
- Kiedyś później (termin nieznany) token może dostać ważność od 1 do 365 dni i opcję automatycznego odnowienia. To na razie propozycja.
Pozostałe zmiany planowane na 2027 r. zebraliśmy w tekście KSeF od 1 stycznia 2027.
Token a certyfikat: to nie to samo
Najważniejsza różnica, która zmienia sposób pracy biura: token niesie w sobie uprawnienia, a certyfikat służy wyłącznie do uwierzytelnienia. MF opisuje to tak: „certyfikaty stanowią wyłącznie środek uwierzytelnienia w systemie, podobnie jak np. podpis kwalifikowany”. Uprawnienia (przeglądanie i wystawianie faktur) nadaje się więc osobno, dla identyfikatora podatkowego zapisanego na certyfikacie, i to one decydują, co dana osoba może zrobić w KSeF.
Pozostałe praktyczne różnice:
- Ważność. Certyfikat KSeF jest ważny nie dłużej niż 2 lata od daty wytworzenia. Token dziś nie ma takiego limitu, ale ministerstwo proponuje dla niego ważność od 1 do 365 dni.
- Dwa typy certyfikatu. Certyfikat typu 1 służy do uwierzytelniania (sesja interaktywna i wsadowa). Certyfikat typu 2 jest wymagany do oznaczania faktur w trybach szczególnych: offline24, niedostępności systemu oraz w trybie awaryjnym. Tego token nie potrafił, więc certyfikat typu 2 to realna nowa możliwość, a nie tylko zamiennik.
- Skąd go wziąć. Certyfikaty KSeF można wnioskować od 1 listopada 2025 r., a od 1 lutego 2026 r. są dostępne w aplikacji Podatnika i przez API.
Co powinno zrobić biuro już teraz
- Zapisuj datę wygenerowania każdego tokenu. Dziś token działa do unieważnienia. Jeśli wejdzie propozycja terminu ważności, rejestr dat pokaże, które tokeny wygasną pierwsze.
- Rozważ certyfikat KSeF typu 1 dla biura. Certyfikat nie niesie uprawnień i działa w wielu kontekstach, więc przy wielu klientach bywa wygodniejszy niż osobny token dla każdego NIP.
- Przetestuj certyfikat typu 2 pod tryby offline, zanim trafisz na pierwszą awarię KSeF w realnej wysyłce. Token tego nie zastąpi.
Jak wkleić token w FakturaFlow
Po założeniu konta w FakturaFlow:
- Otwórz stronę Połącz z KSeF. Prowadzi do niej karta powitalna na Przeglądzie, a ten sam formularz jest też w Ustawieniach, zakładka Biuro.
- W polu „Token KSeF” wklej cały ciąg znaków z Aplikacji Podatnika KSeF (razem z separatorami i sekcją
|nip-XXX|). - Wybierz środowisko. Do prawdziwych faktur służy środowisko „Produkcyjne”. Testowe i Demo to piaskownice MF, faktury nie mają tam mocy prawnej.
- Kliknij „Zapisz token i sprawdź połączenie”.
FakturaFlow od razu loguje się tym tokenem do KSeF i pokazuje wynik: zielony komunikat, gdy połączenie działa, albo przyczynę po polsku, gdy nie działa (na przykład token z innego środowiska albo wystawiony dla innego NIP).
Zapisanego tokenu nie da się już odczytać w przeglądarce, także członkom Twojego biura. Korzystają z niego wyłącznie funkcje serwerowe w chwili wysyłki do KSeF. Dyski bazy danych są dodatkowo szyfrowane algorytmem AES-256 przez dostawcę infrastruktury, Supabase.
Co zrobić, gdy token przestanie działać
Skoro token nie ma sztywnej daty ważności, dostęp znika zwykle z jednego z dwóch powodów: token został unieważniony albo odebrano uprawnienia, na których się opierał. W obu przypadkach postępowanie jest takie samo. Poproś o wygenerowanie nowego tokenu (procedura jak wyżej) i wklej go w miejsce starego.
Trzecia sytuacja pojawi się, gdy wejdą w życie zapowiedziane terminy ważności, w tym 30 listopada 2027 r. dla tokenów wydanych do końca 2026 r. Token wygaśnie wtedy po ustalonym czasie, chyba że właściciel zgodzi się na jego automatyczne odnowienie (to na razie propozycja). Postępowanie będzie takie samo jak wyżej. Migracja na certyfikaty nie jest kwestią kalendarza na koniec 2026 r., bo metoda tokenowa zostaje. Certyfikat typu 2 jest jednak potrzebny niezależnie od tokenu, do oznaczania faktur wystawianych offline. Szczegóły w poradniku o certyfikacie KSeF.
Jeśli klient zwleka z odnowieniem tokenu i ten faktycznie wygaśnie, wszystkie próby wysyłki faktur dla tego NIP zwrócą błąd autoryzacji 401. W artykule o najczęstszych błędach KSeF opisujemy, jak rozpoznać ten konkretny przypadek i co zrobić.
Najczęstsze pytania
Czy mogę używać jednego tokenu dla kilku klientów?
Nie. Token jest sztywno powiązany z konkretnym NIP-em (widać go w środkowej sekcji ciągu). Dla każdego klienta biura potrzebujesz osobnego tokenu wygenerowanego z jego konta.
Czy klient widzi, co biuro robi z jego tokenem?
Tak. Każda operacja wykonywana z użyciem tokenu jest widoczna w Aplikacji Podatnika KSeF danego klienta. Klient w każdej chwili widzi listę wysłanych faktur i może odebrać uprawnienia tokenu (co spowoduje natychmiastowe wygaśnięcie).
Czy można odzyskać zapomniany token?
Nie. Aplikacja Podatnika KSeF wyświetla token tylko raz, w chwili generowania. Jeśli klient go zgubił, musi wygenerować nowy.
Podsumowanie
Token KSeF to fundament codziennej pracy z e-fakturami. Im lepszy proces zbierania i archiwizacji tokenów, tym mniej przerw w wysyłce. Skonfiguruj token raz dla każdego NIP-u i pilnuj dwóch rzeczy: żeby uprawnienia stojące za tokenem nie zostały odebrane oraz żeby wiedzieć, kiedy każdy token wygenerowano. Tokeny zostają po 2026 r. Według propozycji MF dostaną jednak termin ważności od 1 do 365 dni, więc rejestr dat oszczędzi nerwów, gdy zmiana wejdzie w życie.