5 metod uwierzytelniania w KSeF 2.0. Który sposób jest dla Ciebie?

Najpierw jedno rozróżnienie, które ustawia wszystko

KSeF ma dwa tryby dostępu i to od nich zależy, która metoda ma dla Ciebie sens.

Tryb ręczny to logowanie przez przeglądarkę do Aplikacji Podatnika KSeF. Wchodzisz, klikasz, wystawiasz fakturę samodzielnie. Do tego trybu wystarczy Profil Zaufany albo podpis kwalifikowany.

Tryb automatyczny to sytuacja, gdy fakturę wysyła Twój program do fakturowania, łącząc się z KSeF przez API. Tu sam Profil Zaufany nie wystarczy do stałej pracy: sesja otwarta przez niego nie odnawia się sama, a program potrzebuje trwałego sposobu uwierzytelnienia — certyfikatu KSeF. (Biurko może połączyć się podpisem Profilem Zaufanym, ale po każdym zakończeniu sesji XML podpisujesz ponownie.)

Jeśli wystawiasz kilka faktur miesięcznie ręcznie, interesują Cię metody z pierwszej grupy. Jeśli korzystasz z programu księgowego lub integrujesz KSeF z ERP, patrz na drugą.

Metoda 1: Profil Zaufany

Najpopularniejsza i darmowa. Zakładasz go raz, na przykład przez bankowość elektroniczną, i logujesz się nim tak samo jak do innych spraw urzędowych. Dla jednoosobowej działalności, która wystawia faktury samodzielnie, w zupełności wystarczy.

Ważna zmiana: od 1 kwietnia 2026 r. Profil Zaufany działa w ramach tak zwanego Węzła krajowego (SSO), obok mObywatela, e-Dowodu i logowania przez bank. Wynika to wprost z rozporządzenia w sprawie korzystania z KSeF (podstawa prawna).

Ograniczenie jest jedno, ale istotne: sesja otwarta przez Profil Zaufany nie odnawia się sama. Po jej zakończeniu trzeba ponownie podpisać XML, więc do stałej, automatycznej pracy programu lepiej nadaje się certyfikat KSeF.

Metoda 2: Kwalifikowany podpis elektroniczny

To cyfrowy odpowiednik podpisu odręcznego, ważny w całej Unii zgodnie ze standardem eIDAS. Kupujesz go u komercyjnych dostawców (Certum, Sigillum, EuroCert) w abonamencie rocznym lub wieloletnim. Jest płatny.

W kontekście KSeF daje ten sam dostęp co Profil Zaufany, czyli logowanie ręczne do Aplikacji Podatnika. Ma sens głównie wtedy, gdy już masz podpis do innych celów: e-KRS, przetargów, podpisywania umów. Jeśli nie masz i nie potrzebujesz go gdzie indziej, Profil Zaufany jest tańszy i równie skuteczny.

Podpis kwalifikowany to metoda trwała. Nie wygasa razem z okresem przejściowym.

Metoda 3: Kwalifikowana pieczęć elektroniczna

To odpowiednik podpisu, ale dla firm niebędących osobą fizyczną (spółki z o.o., S.A.). Pieczęć jest powiązana z NIP-em firmy, a nie z konkretną osobą, więc dokumenty są podpisywane w imieniu organizacji. Koszt to rząd wielkości ok. 1500 zł.

Dużym plusem jest to, że posiadając pieczęć, spółka może obsługiwać KSeF bez składania druku ZAW-FA. Dla mniejszych podmiotów pieczęć jest raczej zbędna, ale w większej organizacji bywa wygodna.

Metoda 4: Certyfikat KSeF (metoda docelowa)

To cyfrowe narzędzie kryptograficzne wydawane bezpłatnie przez Centrum Certyfikacji Ministerstwa Finansów. W odróżnieniu od tokena certyfikat jest wyłącznie środkiem uwierzytelnienia, nie zawiera w sobie uprawnień. Działa więc podobnie jak podpis kwalifikowany, tylko dedykowany dla KSeF (ksef.podatki.gov.pl).

Kilka konkretów, które warto znać:

• Wnioski można składać od 1 listopada 2025 r., a samo uwierzytelnianie certyfikatem jest możliwe od 1 lutego 2026 r.

• Certyfikat jest ważny nie dłużej niż 2 lata.

• Są dwa typy: Uwierzytelniający (do logowania, również przez API) i Offline (do kodu QR typu KOD II na fakturach wystawianych w trybie offline). Jeden certyfikat nie pełni obu ról.

• Limity: osoba fizyczna po PESEL lub „odcisku palca” to maksymalnie 6 aktywnych certyfikatów, podmiot z NIP (spółka, JDG z NIP) nawet do 100.

Certyfikat to najrozsądniejszy długoterminowy wybór, zwłaszcza przy integracji programu do fakturowania z KSeF. Program musi jednak umieć złożyć podpis XAdES-BES, więc w praktyce robi to za Ciebie oprogramowanie.

Metoda 5: Token KSeF (i to, co może się zmienić)

Token to 40-znakowy ciąg generowany przez KSeF po zalogowaniu. W przeciwieństwie do certyfikatu token zawiera w sobie uprawnienia podatnika, dlatego bywał wygodny do integracji: raz wygenerowany, pozwala programowi działać w Twoim imieniu.

Tu uwaga, bo sytuacja prawna tokenów nie jest ustalona. Zgodnie z obecnymi przepisami tokeny KSeF wygasają 31 grudnia 2026 r. Na konsultacjach 9 czerwca 2026 r. MF zaproponowało ich utrzymanie, ale decyzji w formie przepisu jeszcze nie ma — bezpieczniej przejść na certyfikat KSeF (konsultacje KSeF, MF).

Propozycja zmieniałaby też mechanikę tokenów: ważność ustawianą od 1 do 365 dni oraz automatyczne odnawianie za zgodą właściciela. To na razie tylko propozycja, więc do czasu przyjęcia przepisów warto śledzić komunikaty MF, bo szczegóły mogą się jeszcze zmienić.

Wniosek praktyczny: dopóki nie ma przepisu, który tokeny przedłuża, bezpieczniej założyć, że 31 grudnia 2026 r. przestaną działać, i przejść na certyfikat KSeF. Biurko nie obsługuje tokenów jako sposobu połączenia — łączy się Profilem Zaufanym albo certyfikatem.

Który wybrać? Szybka ściąga według sytuacji

Prosta zasada: im więcej faktur i im bardziej chcesz to zautomatyzować, tym bardziej przesuwasz się w stronę certyfikatu. Ręczne logowanie do Aplikacji Podatnika przy setkach faktur miesięcznie szybko staje się uciążliwe.

Checklista przed pierwszą fakturą

1. Ustal, czy wystawiasz ręcznie, czy przez program. To przesądza o wyborze metody.

2. Dla trybu ręcznego sprawdź, czy masz aktywny Profil Zaufany.

3. Dla integracji z programem złóż wniosek o certyfikat KSeF (typ Uwierzytelniający do logowania, typ Offline do trybu offline).

4. Zweryfikuj, czy Twoje oprogramowanie obsługuje KSeF 2.0 i strukturę FA(3).

5. Nadaj uprawnienia osobom, które będą wystawiać faktury.

6. Przećwicz pełny cykl w demo Biurko (demo.biurko.io, dostęp na 7 dni) albo w środowisku testowym Ministerstwa Finansów, zanim ruszysz na produkcji. Konto na app.biurko.io wysyła faktury do produkcyjnego KSeF — każda wysłana faktura jest prawdziwa.

Podsumowanie

Pięć metod brzmi groźnie, ale wybór zwykle sprowadza się do jednego pytania: ręcznie czy przez program. Dla samodzielnej JDG wystarczy Profil Zaufany. Dla firmy, która chce zautomatyzować fakturowanie, kierunkiem jest certyfikat KSeF, a token według obecnych przepisów wygasa 31 grudnia 2026 r. — czy zostanie, zależy od decyzji MF.

Biurko łączy się z KSeF Profilem Zaufanym (domyślnie), własnym certyfikatem KSeF albo certyfikatem zamówionym przez Biurko; tokenów nie obsługuje. Sesja przez Profil Zaufany nie odnawia się sama, dlatego do stałej, automatycznej pracy zamów w Biurko certyfikat KSeF — po pierwszym podłączeniu Profilem Zaufanym — i użyj go do połączenia. Załóż konto na biurko.io i podłącz KSeF bez walki z logowaniem. Do ćwiczeń bez skutków prawnych użyj demo Biurko (demo.biurko.io, dostęp na 7 dni, środowisko demonstracyjne KSeF). Konto na app.biurko.io wysyła faktury do produkcyjnego KSeF — każda wysłana faktura jest prawdziwa.

FAQ

Jakie metody uwierzytelniania są dostępne w KSeF 2.0? Pięć: Profil Zaufany (od 1 kwietnia 2026 r. w ramach Węzła krajowego), kwalifikowany podpis elektroniczny, kwalifikowana pieczęć elektroniczna, certyfikat KSeF oraz token. Cztery pierwsze potwierdzają tożsamość, token dodatkowo zawiera uprawnienia.

Czy tokeny KSeF znikną po 2026 roku? Zgodnie z obecnymi przepisami tokeny KSeF wygasają 31 grudnia 2026 r. Na konsultacjach 9 czerwca 2026 r. MF zaproponowało ich utrzymanie, ale decyzji w formie przepisu jeszcze nie ma — bezpieczniej przejść na certyfikat KSeF. Warto śledzić komunikaty MF.

Czym różni się certyfikat KSeF od tokena? Certyfikat to wyłącznie środek uwierzytelnienia, nie zawiera uprawnień i jest ważny do 2 lat. Token zawiera w sobie uprawnienia podatnika. Do integracji można użyć obu, ale token według obecnych przepisów wygasa 31 grudnia 2026 r., a certyfikat jest metodą docelową.

Czy Profil Zaufany wystarczy do KSeF? Do samodzielnego wystawiania kilku faktur miesięcznie w przeglądarce tak. Do stałej pracy programu przez API lepszy jest jednak certyfikat: sesja otwarta Profilem Zaufanym nie odnawia się sama i po jej zakończeniu trzeba ponownie podpisać XML.

Ile kosztuje uwierzytelnienie w KSeF? Profil Zaufany, certyfikat KSeF i token są bezpłatne. Płatne są kwalifikowany podpis elektroniczny (abonament roczny) i kwalifikowana pieczęć elektroniczna (rząd wielkości ok. 1500 zł), przeznaczona głównie dla spółek.