Certyfikat KSeF to wydawane przez Ministerstwo Finansów poświadczenie tożsamości w Krajowym Systemie e-Faktur. Wygenerujesz go w Aplikacji Podatnika KSeF w zakładce Certyfikaty albo w programie do fakturowania połączonym z KSeF, a po przetworzeniu wniosku pobierzesz jako plik .crt. Certyfikat typu 1 służy do logowania programu w KSeF, a typu 2 – do wystawiania faktur offline. Każdy jest ważny najwyżej 2 lata.
Czym jest certyfikat KSeF i do czego służy?
Certyfikat KSeF to elektroniczne poświadczenie tożsamości, które Centrum Certyfikacji Ministerstwa Finansów wydaje osobie lub firmie korzystającej z Krajowego Systemu e-Faktur. Potwierdza, kto łączy się z systemem albo kto wystawił fakturę offline.
Certyfikat sam nie daje uprawnień – KSeF sprawdza je osobno dla numeru NIP lub PESEL zapisanego w certyfikacie. Dzięki temu jeden certyfikat działa w kilku firmach, jeśli każda z nich nadała Ci uprawnienia.
Certyfikat KSeF uzyskasz po złożeniu wniosku, o który można występować od 1 listopada 2025 r. Od 1 lutego 2026 r. wniosek składa się w Aplikacji Podatnika KSeF albo w programie do fakturowania połączonym z API KSeF (procedura wydania certyfikatu MF).
Jak wygląda certyfikat KSeF?
Certyfikat KSeF to plik .crt w formacie PEM. Należy do niego osobny plik z kluczem prywatnym (.key), chroniony hasłem, które ustawiasz przy wniosku. Certyfikat zawiera dane właściciela – imię, nazwisko i PESEL lub NIP albo nazwę i NIP firmy – a także okres ważności, numer seryjny i klucz publiczny.
Certyfikat KSeF typu 1 i typu 2
Certyfikat KSeF typu 1 służy do logowania w KSeF, a certyfikat typu 2 – do oznaczania faktur offline kodem QR. Każdy typ generuje się osobno, bo jeden certyfikat nie może łączyć obu zastosowań.
| Typ | Zastosowanie | Dopisek w nazwie certyfikatu |
|---|---|---|
| Typ 1 | Logowanie w KSeF, np. połączenie programu do fakturowania z systemem | „uwierzytelnianie” |
| Typ 2 | Oznaczanie faktury kodem QR potwierdzającym wystawcę w trybach offline24, offline i awaryjnym. Nie służy do logowania. | „offline” |
Zobacz też: Tryb offline w KSeF – jak wystawić fakturę, gdy system nie działa?
Czy certyfikat KSeF jest obowiązkowy?
Certyfikat KSeF nie jest obowiązkowy dla każdej firmy. Potrzebujesz go do wystawiania faktur w trybach offline, bo tylko certyfikatem typu 2 można oznaczyć fakturę kodem QR potwierdzającym wystawcę. Do połączenia programu do fakturowania z KSeF możesz użyć certyfikatu typu 1 albo tokena.
Firmy, które zaczną wystawiać faktury w KSeF 1 stycznia 2027 r., będą potrzebować certyfikatu typu 2, jeśli chcą wystawiać faktury offline, np. przy braku internetu. Certyfikat możesz zamówić już teraz i ustawić datę początku ważności na 1 stycznia 2027 r.
Zobacz też: Zmiany w KSeF od 2027 roku
Token czy certyfikat KSeF?
Token i certyfikat KSeF typu 1 tak samo pozwalają zalogować program do fakturowania w KSeF, ale tylko certyfikat działa w kilku firmach jednocześnie, a wyłącznie certyfikat typu 2 umożliwia wystawianie faktur offline. Token zawiera uprawnienia nadane w chwili generowania, a certyfikat jest tylko potwierdzeniem tożsamości.
| Cecha | Token KSeF | Certyfikat KSeF |
|---|---|---|
| Logowanie programu do fakturowania | Tak | Tak (typ 1) |
| Faktury w trybie offline | Nie | Tak (typ 2) |
| Uprawnienia | Zapisane w tokenie w chwili generowania | Nie zawiera – KSeF sprawdza aktualne uprawnienia właściciela |
| Praca w kilku firmach | Nie – jeden token działa w jednym kontekście | Tak |
| Ważność | Do unieważnienia | Najwyżej 2 lata |
| Limit liczby | Brak | 6 aktywnych na PESEL, 100 na NIP |
| Logowanie w Aplikacji Podatnika KSeF | Nie | Nie |
Według obowiązującego rozporządzenia tokeny działają do 31 grudnia 2026 r. Ministerstwo Finansów zapowiedziało jednak w Podręczniku KSeF 2.0 (sierpień 2026 r.) ich bezterminowe utrzymanie i nowelizację rozporządzenia. Jeśli Twój program łączy się z KSeF tokenem, sprawdź przed końcem 2026 r., czy przepisy zostały zmienione. Certyfikat typu 1 będzie działał niezależnie od tej zmiany.
Jak wygenerować certyfikat KSeF w Aplikacji Podatnika?
Certyfikat KSeF wygenerujesz w Aplikacji Podatnika KSeF (ap.ksef.mf.gov.pl) w zakładce Certyfikaty, po zalogowaniu się przez login.gov.pl albo podpisem lub pieczęcią kwalifikowaną.
- Zaloguj się do Aplikacji Podatnika KSeF w kontekście NIP swojej firmy: przez login.gov.pl (Profil Zaufany, mObywatel, bankowość elektroniczna, e-dowód), podpisem kwalifikowanym albo pieczęcią kwalifikowaną.
- Przejdź do zakładki Certyfikaty i wybierz Wnioskuj o certyfikat.
- Wpisz nazwę certyfikatu (od 5 do 50 znaków). Pod tą nazwą aplikacja zapisze klucz prywatny i certyfikat, więc warto dodać dopisek „logowanie” lub „offline”.
- Ustaw hasło do klucza prywatnego i powtórz je. Hasło musi mieć od 15 do 32 znaków, wielką i małą literę, cyfrę oraz jeden ze znaków !@#$%^&*()-_=+ i nie może zawierać polskich znaków.
- Kliknij Generuj – aplikacja zapisze klucz prywatny na komputerze jako plik .key.
- Wybierz przeznaczenie certyfikatu: Uwierzytelnienie w systemie KSeF (typ 1) albo Podpis linku do weryfikacji wystawcy (typ 2).
- Ustaw datę „Certyfikat ważny od” i kliknij Wyślij wniosek o wydanie certyfikatu.
- Poczekaj na wydanie certyfikatu – według MF może to potrwać kilka minut, a status sprawdzisz przyciskiem Odśwież. Po komunikacie „Zakończono pomyślnie” kliknij Pobierz certyfikat.
- Aby uzyskać certyfikat drugiego typu, wybierz Wnioskuj o kolejny certyfikat i powtórz kroki 3–8. Każdy typ wymaga nowego klucza prywatnego.
Dane do certyfikatu aplikacja pobiera z metody logowania, więc wniosek złożysz tylko we własnym imieniu. Klucz prywatny nie trafia do Ministerstwa Finansów – przechowuj plik .key i hasło w bezpiecznym miejscu.
Opis kroków i zrzuty ekranu pochodzą z podręcznika użytkownika Aplikacji Podatnika KSeF (Ministerstwo Finansów, sierpień 2026 r.). Wygląd aplikacji może się zmienić.
Zobacz też: Dostęp do KSeF dla jednoosobowej działalności gospodarczej – krok po kroku
Jak pobrać certyfikat KSeF i dodać go do programu?
Certyfikat KSeF pobierzesz od razu po wydaniu przyciskiem Pobierz certyfikat albo później z Listy certyfikatów w Aplikacji Podatnika: zaznacz certyfikat ze statusem Aktywny i wybierz Pobierz certyfikat → PEM. Plik zapisze się z rozszerzeniem .crt.
Na liście sprawdzisz też przeznaczenie, status i daty ważności każdego certyfikatu, a przyciskiem Unieważnij wycofasz certyfikat, którego już nie potrzebujesz.
Do programu do fakturowania dodajesz zwykle trzy elementy: plik certyfikatu (.crt), plik klucza prywatnego (.key) i hasło do klucza. Certyfikat typu 1 wgrywasz jako certyfikat do połączenia z KSeF, a certyfikat typu 2 – jako certyfikat do faktur offline.
Część programów do fakturowania składa wniosek o certyfikat przez API KSeF. Wtedy wniosek składasz w programie, a plików nie pobierasz z Aplikacji Podatnika.
Ile jest ważny certyfikat KSeF i jak go odnowić?
Certyfikat KSeF jest ważny najwyżej 2 lata od daty „Certyfikat ważny od” podanej we wniosku. Jeśli program składa wniosek przez API bez tej daty, ważność liczy się od dnia wydania. Daty początkowej nie ustawisz wcześniej niż na dzień złożenia wniosku, a przed nią certyfikat nie zadziała.
Certyfikatu nie przedłuża się. Przed końcem ważności wygeneruj nowy i wgraj go do programu. Jeśli masz już maksymalną liczbę aktywnych certyfikatów, kolejny otrzymasz najwcześniej miesiąc przed wygaśnięciem najstarszego z nich.
Po wygaśnięciu certyfikatu typu 1 nie zalogujesz się nim w KSeF, więc program połączony tym certyfikatem straci dostęp do systemu. Po wygaśnięciu certyfikatu typu 2 nie wystawisz faktury offline. Do Aplikacji Podatnika nadal zalogujesz się przez login.gov.pl albo podpisem kwalifikowanym.
Certyfikat możesz unieważnić w każdej chwili, np. gdy przestajesz go używać albo pracownik korzystający z certyfikatu spółki odchodzi z firmy. Unieważnić certyfikat może tylko jego właściciel, a unieważnionego nie da się przywrócić. Przy certyfikacie osobistym pracownika firma odbiera mu uprawnienia w KSeF.
Ile certyfikatów KSeF można wygenerować?
Liczba certyfikatów KSeF zależy od identyfikatora zapisanego w certyfikacie: na PESEL możesz mieć 6 aktywnych certyfikatów, a na NIP – 100.
| Identyfikator w certyfikacie | Aktywne certyfikaty | Wnioski w ciągu 30 dni |
|---|---|---|
| PESEL | 6 | 12 |
| NIP | 100 | 300 |
| Odcisk palca podpisu lub pieczęci bez NIP i PESEL | 6 | 12 |
Limit wniosków liczy się z ostatnich 30 dni, a unieważnienie certyfikatu go nie przywraca. Wyższy limit MF może przyznać na uzasadniony wniosek złożony przez formularz kontaktowy KSeF.
Po zalogowaniu przez login.gov.pl, np. Profilem Zaufanym, certyfikat jest wydawany na PESEL. Certyfikat na NIP jednoosobowej działalności uzyskasz po zalogowaniu podpisem kwalifikowanym zawierającym NIP. Oba zadziałają w Twojej firmie, bo KSeF łączy NIP i PESEL właściciela.
Jak uzyskać certyfikat KSeF dla spółki?
Certyfikat KSeF na NIP spółki uzyska spółka, która loguje się do KSeF kwalifikowaną pieczęcią elektroniczną. Spółka bez pieczęci korzysta z certyfikatów wydanych na PESEL osób, którym nadała uprawnienia, np. w zawiadomieniu ZAW-FA.
Wybór widać w KSeF: przy certyfikacie spółki faktura pokaże dane spółki, a przy certyfikacie pracownika – dane tej osoby. Certyfikaty spółki firma może przekazywać pracownikom i odpowiada za ich użycie. Certyfikatu wydanego na osobę fizyczną nie wolno przekazać nikomu.
Certyfikat KSeF dla biura rachunkowego
Księgowa lub pracownik biura rachunkowego potrzebuje jednego własnego certyfikatu, a nie osobnego dla każdego klienta. Certyfikat działa w każdej firmie, która nadała tej osobie uprawnienia w KSeF, i pozostaje ważny, gdy klient je odbierze.
Zobacz też: Dostęp do KSeF w spółce – jak przygotować firmę krok po kroku
Najczęstsze błędy przy certyfikacie KSeF
- Logowanie certyfikatem typu 2 – certyfikat offline nie służy do logowania, więc program nie połączy się nim z KSeF. Do połączenia potrzebny jest certyfikat typu 1.
- Wniosek po zalogowaniu tokenem – po zalogowaniu tokenem nie złożysz wniosku o certyfikat. Potrzebne jest logowanie przez login.gov.pl, podpisem, pieczęcią albo ważnym certyfikatem KSeF.
- Utrata klucza prywatnego lub hasła – MF nie otrzymuje klucza prywatnego, więc go nie odtworzy. Wygeneruj nowy certyfikat i unieważnij poprzedni.
- Przekazanie certyfikatu osobistego – certyfikatu wydanego na osobę fizyczną nie wolno udostępniać innej osobie, także księgowej.
- Wielokrotne generowanie i unieważnianie – każdy wniosek zużywa limit z 30 dni, nawet jeśli certyfikat od razu unieważnisz.
- Data „ważny od” w przyszłości – certyfikat nie zadziała przed wskazaną datą.
FAQ – certyfikat KSeF
Do czego służy certyfikat KSeF typu 2?
Certyfikat KSeF typu 2 służy wyłącznie do wystawiania faktur w trybach offline24, offline i awaryjnym. Oznacza się nim kod QR, który potwierdza tożsamość wystawcy faktury. Certyfikatem typu 2 nie zalogujesz się do KSeF.
Od kiedy można wnioskować o certyfikat KSeF?
Certyfikat KSeF uzyskasz po złożeniu wniosku, o który można występować od 1 listopada 2025 r. Od 1 lutego 2026 r. wniosek składa się w Aplikacji Podatnika KSeF albo w programie do fakturowania połączonym z API KSeF.
Ile trwa wydanie certyfikatu KSeF?
Wydanie certyfikatu KSeF po wysłaniu wniosku może potrwać kilka minut. W tym czasie Aplikacja Podatnika pokazuje status „W realizacji”, a po przetworzeniu wniosku – komunikat „Zakończono pomyślnie” i przycisk Pobierz certyfikat.
Czy da się odzyskać hasło do certyfikatu KSeF?
Hasła do certyfikatu KSeF nie da się odzyskać, bo klucz prywatny i hasło zostają wyłącznie u Ciebie – Ministerstwo Finansów ich nie otrzymuje. Po utracie hasła wygeneruj nowy certyfikat i unieważnij poprzedni.
Czy certyfikat KSeF można przekazać księgowej?
Certyfikatu KSeF wydanego na osobę fizyczną nie można przekazać księgowej ani nikomu innemu. Księgowa powinna mieć własny certyfikat i uprawnienia nadane jej w KSeF przez Twoją firmę.
Czy certyfikat KSeF przestaje działać po odebraniu uprawnień?
Certyfikat KSeF nie traci ważności po odebraniu uprawnień, bo nie zawiera ich w sobie. Właściciel nie zaloguje się nim tylko w tych firmach, w których nie ma już żadnych uprawnień.
Czy certyfikatem KSeF zalogujesz się do Aplikacji Podatnika?
Certyfikatem KSeF nie zalogujesz się do Aplikacji Podatnika KSeF. Certyfikat służy do logowania w programach do fakturowania połączonych z API KSeF, a do aplikacji logujesz się przez login.gov.pl albo podpisem lub pieczęcią kwalifikowaną.
Czy po 2026 r. trzeba będzie zamienić token na certyfikat KSeF?
Zamiana tokena na certyfikat KSeF po 2026 r. nie będzie konieczna, jeśli wejdzie w życie zapowiadana zmiana rozporządzenia – Ministerstwo Finansów zapowiedziało bezterminowe utrzymanie tokenów. Obecne rozporządzenie wciąż ogranicza je do 31 grudnia 2026 r.
