Najpierw jedno rozróżnienie, które ustawia wszystko
KSeF ma dwa tryby dostępu i to od nich zależy, która metoda ma dla Ciebie sens.
Tryb ręczny to logowanie przez przeglądarkę do Aplikacji Podatnika KSeF. Wchodzisz, klikasz, wystawiasz fakturę samodzielnie. Do tego trybu wystarczy Profil Zaufany albo podpis kwalifikowany.
Tryb automatyczny to sytuacja, gdy fakturę wysyła Twój program do fakturowania, łącząc się z KSeF przez API. Tu Profil Zaufany nie zadziała, bo to metoda logowania człowieka, a nie systemu. Program potrzebuje tokena albo certyfikatu KSeF.
Jeśli wystawiasz kilka faktur miesięcznie ręcznie, interesują Cię metody z pierwszej grupy. Jeśli korzystasz z programu księgowego lub integrujesz KSeF z ERP, patrz na drugą.
Metoda 1: Profil Zaufany
Najpopularniejsza i darmowa. Zakładasz go raz, na przykład przez bankowość elektroniczną, i logujesz się nim tak samo jak do innych spraw urzędowych. Dla jednoosobowej działalności, która wystawia faktury samodzielnie, w zupełności wystarczy.
Ważna zmiana: od 1 kwietnia 2026 r. Profil Zaufany działa w ramach tak zwanego Węzła krajowego (SSO), obok mObywatela, e-Dowodu i logowania przez bank. Wynika to wprost z rozporządzenia w sprawie korzystania z KSeF (podstawa prawna).
Ograniczenie jest jedno, ale istotne: Profil Zaufany służy do logowania ręcznego. Twój program do fakturowania go nie użyje.
Metoda 2: Kwalifikowany podpis elektroniczny
To cyfrowy odpowiednik podpisu odręcznego, ważny w całej Unii zgodnie ze standardem eIDAS. Kupujesz go u komercyjnych dostawców (Certum, Sigillum, EuroCert) w abonamencie rocznym lub wieloletnim. Jest płatny.
W kontekście KSeF daje ten sam dostęp co Profil Zaufany, czyli logowanie ręczne do Aplikacji Podatnika. Ma sens głównie wtedy, gdy już masz podpis do innych celów: e-KRS, przetargów, podpisywania umów. Jeśli nie masz i nie potrzebujesz go gdzie indziej, Profil Zaufany jest tańszy i równie skuteczny.
Podpis kwalifikowany to metoda trwała. Nie wygasa razem z okresem przejściowym.
Metoda 3: Kwalifikowana pieczęć elektroniczna
To odpowiednik podpisu, ale dla firm niebędących osobą fizyczną (spółki z o.o., S.A.). Pieczęć jest powiązana z NIP-em firmy, a nie z konkretną osobą, więc dokumenty są podpisywane w imieniu organizacji. Koszt to rząd wielkości ok. 1500 zł.
Dużym plusem jest to, że posiadając pieczęć, spółka może obsługiwać KSeF bez składania druku ZAW-FA. Dla mniejszych podmiotów pieczęć jest raczej zbędna, ale w większej organizacji bywa wygodna.
Metoda 4: Certyfikat KSeF (metoda docelowa)
To cyfrowe narzędzie kryptograficzne wydawane bezpłatnie przez Centrum Certyfikacji Ministerstwa Finansów. W odróżnieniu od tokena certyfikat jest wyłącznie środkiem uwierzytelnienia, nie zawiera w sobie uprawnień. Działa więc podobnie jak podpis kwalifikowany, tylko dedykowany dla KSeF (ksef.podatki.gov.pl/certyfikaty-ksef).
Kilka konkretów, które warto znać:
Wnioski można składać od 1 listopada 2025 r., a samo uwierzytelnianie certyfikatem jest możliwe od 1 lutego 2026 r.
Certyfikat jest ważny nie dłużej niż 2 lata.
Są dwa typy. Typ 1 służy do logowania (również przez API), Typ 2 do podpisywania faktur w trybie offline kodem QR, gdy KSeF jest niedostępny.
Limity: osoba fizyczna po PESEL lub „odcisku palca” to maksymalnie 2 aktywne certyfikaty, podmiot z NIP (spółka, JDG z NIP) nawet do 100.
Certyfikat to najrozsądniejszy długoterminowy wybór, zwłaszcza przy integracji programu do fakturowania z KSeF. Program musi jednak umieć złożyć podpis XAdES-BES, więc w praktyce robi to za Ciebie oprogramowanie.
Metoda 5: Token KSeF (i to, co się zmieniło)
Token to 40-znakowy ciąg generowany przez KSeF po zalogowaniu. W przeciwieństwie do certyfikatu token zawiera w sobie uprawnienia podatnika, dlatego bywał wygodny do integracji: raz wygenerowany, pozwala programowi działać w Twoim imieniu.
Tu uwaga, bo większość poradników w sieci jest już nieaktualna. Pierwotny plan zakładał, że tokeny znikną 31 grudnia 2026 r., a od 1 stycznia 2027 r. jedyną metodą systemową będą certyfikaty. Po konsultacjach z 9 czerwca 2026 r. Ministerstwo Finansów zapowiedziało jednak, że tokeny zostają na stałe (konsultacje KSeF, MF).
Zmienia się natomiast ich mechanika. Zapowiadane rozwiązania to ważność tokena ustawiana od 1 do 365 dni oraz automatyczne odnawianie za zgodą właściciela. Zmiany mają wejść w życie 1 stycznia 2027 r. Do czasu formalnego wejścia przepisów warto śledzić komunikaty MF, bo szczegóły mogą się jeszcze doprecyzować.
Wniosek praktyczny: jeśli dziś logujesz się tokenem, nie musisz w panice przechodzić na certyfikat. Ale certyfikat i tak pozostaje metodą docelową i bezpieczniejszym wyborem na dłuższą metę.
Który wybrać? Szybka ściąga według sytuacji
Twoja sytuacja Metoda Płatne? Tryb JDG, kilka faktur miesięcznie, ręcznie Profil Zaufany Nie Ręczny Masz już podpis do e-KRS / przetargów Podpis kwalifikowany Tak Ręczny Spółka bez ZAW-FA Pieczęć kwalifikowana Tak Ręczny / API Program do fakturowania lub integracja ERP Certyfikat KSeF Nie API Istniejąca integracja oparta na tokenie Token (zostaje) Nie API
Prosta zasada: im więcej faktur i im bardziej chcesz to zautomatyzować, tym bardziej przesuwasz się w stronę certyfikatu. Ręczne logowanie do Aplikacji Podatnika przy setkach faktur miesięcznie szybko staje się uciążliwe.
Checklista przed pierwszą fakturą
Ustal, czy wystawiasz ręcznie, czy przez program. To przesądza o wyborze metody.
Dla trybu ręcznego sprawdź, czy masz aktywny Profil Zaufany.
Dla integracji z programem złóż wniosek o certyfikat KSeF (Typ 1 do logowania, Typ 2 do trybu offline).
Zweryfikuj, czy Twoje oprogramowanie obsługuje KSeF 2.0 i strukturę FA(3).
Nadaj uprawnienia osobom, które będą wystawiać faktury.
Przetestuj pełny cykl na środowisku testowym, zanim ruszysz na produkcji.
Podsumowanie
Pięć metod brzmi groźnie, ale wybór zwykle sprowadza się do jednego pytania: ręcznie czy przez program. Dla samodzielnej JDG wystarczy Profil Zaufany. Dla firmy, która chce zautomatyzować fakturowanie, kierunkiem jest certyfikat KSeF, a token zostaje wygodną alternatywą także po 2026 roku.
Biurko uwierzytelnia się w KSeF na podstawie certyfikatu, więc nie musisz logować się ręcznie przy każdej fakturze ani ręcznie odświeżać dostępu. Konfigurujesz to raz. Załóż konto na biurko.io i przetestuj wystawianie e-faktur bez walki z logowaniem.
FAQ
Jakie metody uwierzytelniania są dostępne w KSeF 2.0? Pięć: Profil Zaufany (od 1 kwietnia 2026 r. w ramach Węzła krajowego), kwalifikowany podpis elektroniczny, kwalifikowana pieczęć elektroniczna, certyfikat KSeF oraz token. Cztery pierwsze potwierdzają tożsamość, token dodatkowo zawiera uprawnienia.
Czy tokeny KSeF znikną po 2026 roku? Pierwotnie miały zniknąć 31 grudnia 2026 r. Po konsultacjach z 9 czerwca 2026 r. Ministerstwo Finansów zapowiedziało, że tokeny zostają na stałe, z nową mechaniką: ważność od 1 do 365 dni i automatyczne odnawianie. Warto śledzić komunikaty MF.
Czym różni się certyfikat KSeF od tokena? Certyfikat to wyłącznie środek uwierzytelnienia, nie zawiera uprawnień i jest ważny do 2 lat. Token zawiera w sobie uprawnienia podatnika. Do integracji programu z KSeF można użyć obu, ale certyfikat jest metodą docelową.
Czy Profil Zaufany wystarczy do KSeF? Do samodzielnego wystawiania kilku faktur miesięcznie w przeglądarce tak. Nie zadziała jednak w programie do fakturowania łączącym się z KSeF przez API. Tam potrzebny jest token albo certyfikat.
Ile kosztuje uwierzytelnienie w KSeF? Profil Zaufany, certyfikat KSeF i token są bezpłatne. Płatne są kwalifikowany podpis elektroniczny (abonament roczny) i kwalifikowana pieczęć elektroniczna (rząd wielkości ok. 1500 zł), przeznaczona głównie dla spółek.