Token vs certyfikat KSeF — to nie jest ta sama rzecz w nowym opakowaniu

Na pierwszy rzut oka oba narzędzia robią to samo: pozwalają programowi do fakturowania połączyć się z KSeF w Twoim imieniu. Różnica architektoniczna jest jednak fundamentalna.

Token to klucz dostępu, który zawiera w sobie uprawnienia zadeklarowane w momencie jego wygenerowania. Nie ma terminu ważności, a po wygenerowaniu żyje własnym życiem — kto go ma, ten działa w KSeF w ramach zaszytych w nim uprawnień.

Certyfikat KSeF jest wyłącznie środkiem potwierdzenia tożsamości — działa podobnie jak podpis kwalifikowany. Uprawnienia nie są zaszyte w certyfikacie: system sprawdza je przy każdym logowaniu na podstawie identyfikatora (NIP lub PESEL) zapisanego w certyfikacie. Zmieniasz uprawnienia pracownika? Certyfikat pozostaje ważny, a system po prostu uwzględnia nowy zakres.

Harmonogram wygląda tak:

Stan na 8 października 2026 r.: ten harmonogram wynika z przepisów, które nadal obowiązują. Zgodnie z obecnymi przepisami tokeny KSeF wygasają 31 grudnia 2026 r. Na konsultacjach 9 czerwca 2026 r. MF zaproponowało ich utrzymanie (z terminem ważności od 1 do 365 dni), ale decyzji w formie przepisu jeszcze nie ma — bezpieczniej przejść na certyfikat KSeF. Co dokładnie proponuje MF, opisaliśmy osobno. Jedno jest pewne niezależnie od rozstrzygnięcia: drugi kod QR (KOD II) w trybach offline wymaga certyfikatu typu Offline i token go nie da.

Od lutego 2026 r. wniosek o certyfikat składa się w API KSeF 2.0 lub w Aplikacji Podatnika KSeF 2.0, po uwierzytelnieniu np. Profilem Zaufanym, podpisem kwalifikowanym albo pieczęcią kwalifikowaną (w przypadku spółek).

Dlaczego nie zbudowaliśmy obsługi tokenów „na chwilę"

Szczerze: kusiło. Integracja tokenowa jest technicznie prostsza — doklejasz nagłówek z kluczem i działa. Certyfikaty wymagają znacznie więcej: obsługi podpisu XAdES-BES przy uwierzytelnianiu w API, zarządzania kluczami prywatnymi, pilnowania terminów ważności. Dokumentacja techniczna MF nie pozostawia złudzeń, że to inny poziom złożoności.

Policzyliśmy jednak koszt alternatywny. Budowa obsługi tokenów to kilka tygodni pracy zespołu nad mechanizmem z ogłoszoną datą wygaszenia. Potem migracja wszystkich klientów — w czwartym kwartale 2026 r., czyli dokładnie wtedy, gdy biura rachunkowe mają szczyt sezonu, a KSeF przeżywa największe obciążenie od startu obowiązku. Najgorszy możliwy moment na prośbę „wygeneruj nowe poświadczenie i skonfiguruj integrację od zera".

Był też drugi argument, ważniejszy: bez certyfikatu typu Offline nie ma drugiego kodu QR w trybach offline. A tryby offline to nie egzotyka — to podstawowe zabezpieczenie ciągłości fakturowania.

Certyfikat typu Offline — rzecz, której token nigdy nie potrafił

Ministerstwo Finansów wydaje dwa typy certyfikatów, generowane osobno:

• Typ Uwierzytelniający — logowanie do KSeF w sesji interaktywnej i wsadowej. To odpowiednik dzisiejszego tokena.

• Typ Offline — służy do drugiego kodu QR (KOD II), potwierdzającego tożsamość wystawcy, na fakturach w trybach offline: offline24, offline przy niedostępności systemu oraz w trybie awaryjnym.

Ten drugi typ to realna nowa funkcjonalność. Gdy KSeF ma przerwę techniczną albo padnie Ci internet w dniu wysyłki, faktura wystawiona w trybie offline z kodami QR, z których drugi wygenerowano na bazie certyfikatu typu Offline, jest pełnoprawna — wystarczy przesłać ją do systemu w ustawowym terminie. Token nigdy tego nie umożliwiał i nie umożliwi.

W Biurku oba certyfikaty obsługujemy od pierwszej wersji integracji: typ Uwierzytelniający loguje, typ Offline podpisuje drugi kod QR na fakturach offline, a generowanie linków weryfikacyjnych i kodów QR dzieje się automatycznie pod spodem. Użytkownik widzi tylko, że faktura poszła w trybie offline24 i zostanie wysłana automatycznie po przywróceniu systemu.

Przykład: awaria w piątek o 16:40

Weźmy JDG — usługi IT, faktury wystawiane „na ostatnią chwilę" — któremu tuż przed weekendem pada interfejs KSeF. W systemie opartym na tokenie zobaczyłby błąd połączenia i czekał. W Biurku faktura idzie w trybie offline24 z kodami weryfikacyjnymi, klient od ręki dostaje PDF z QR (przy certyfikacie typu Offline), a do KSeF dokument trafia automatycznie po przywróceniu dostępności. Zero akcji ze strony użytkownika.

Czego ta decyzja nas kosztowała (uczciwie)

Żeby nie było, że to tekst w stylu „nasza decyzja była genialna i bezbolesna":

Onboarding jest trudniejszy. Z tokenem użytkownik kopiował ciąg znaków. Z certyfikatem musi najpierw uwierzytelnić się w KSeF (Profil Zaufany, podpis kwalifikowany lub pieczęć kwalifikowana dla spółek), złożyć wniosek i pobrać certyfikat. Zbudowaliśmy w Biurku kreator, który prowadzi przez ten proces krok po kroku, ale nie oszukujmy się — to więcej kliknięć niż wklejenie tokena.

Certyfikaty wygasają. Maksymalna ważność to 2 lata od daty wytworzenia lub wskazanej daty początkowej. Wygaśnięcie oznacza zatrzymanie integracji. Musieliśmy zbudować monitoring terminów i powiadomienia z wyprzedzeniem — dla biur rachunkowych obsługujących dziesiątki NIP-ów to osobny moduł, nie feature „przy okazji".

Krzywa uczenia zespołu. XAdES-BES, zarządzanie kluczami, konteksty uprawnień NIP/PESEL — pierwsze tygodnie developmentu były wolniejsze, niż gdybyśmy poszli drogą tokenową.

Mimo to nie migrujemy dziś nikogo — Biurko nigdy nie łączyło się tokenem, więc wygaśnięcie tokenów niczego u nas nie zmienia, niezależnie od tego, jak skończy się sprawa tokenów. Zostanie termin z przepisów? Nasi klienci nie mają przed sobą żadnej zmiany 1 stycznia 2027 r. Tokeny zostaną na nowych zasadach? Nadal nie mają, bo drugi kod QR w trybach offline i tak wymaga certyfikatu typu Offline. I to była cała stawka tej decyzji.

Co zrobić w 2026 r. — checklist dla integracji na tokenie

1. Sprawdź, na czym działa Twoja integracja. Jeśli Twój program fakturowy łączy się z KSeF tokenem, obowiązującym terminem jest nadal 31 grudnia 2026 r. Propozycja MF może go znieść, ale dopóki nie ma przepisu, planuj tak, jakby termin obowiązywał.

2. Zapytaj dostawcę oprogramowania o plan migracji na certyfikaty. Konkretnie: czy obsługuje certyfikat typu Uwierzytelniający i typu Offline, i od kiedy.

3. Wygeneruj certyfikat z wyprzedzeniem. Wniosek złożysz w Aplikacji Podatnika KSeF 2.0 po uwierzytelnieniu Profilem Zaufanym lub podpisem kwalifikowanym. Nie czekaj na grudzień.

4. Spółka? Rozważ pieczęć kwalifikowaną. Certyfikat na dane podmiotu (NIP spółki) może wymagać uwierzytelnienia pieczęcią — jej wyrobienie trwa, więc zacznij wcześniej.

5. Zaplanuj zarządzanie certyfikatami w organizacji. Osobne certyfikaty dla właściciela, księgowości i systemów sprzedażowych — unieważnienie jednego nie blokuje wtedy reszty.

6. Zanotuj datę ważności. Certyfikat działa maksymalnie 2 lata — ustaw przypomnienie o odnowieniu albo wybierz narzędzie, które pilnuje tego za Ciebie.

Podsumowanie

Tokeny KSeF były rozwiązaniem pomostowym. Obowiązujące przepisy kończą ten pomost 31 grudnia 2026 r., a Ministerstwo Finansów zaproponowało ich utrzymanie z krótkim terminem ważności — rozstrzygnięcia legislacyjnego wciąż nie ma. Niezależnie od niego certyfikaty to nie tylko nowy sposób logowania: to jedyna droga do drugiego kodu QR w trybach offline i bezpieczniejszy model zarządzania dostępem.

W Biurku nie musisz planować migracji z tokena, bo Biurko nigdy nie łączyło się tokenem: łączysz się Profilem Zaufanym (domyślnie) albo certyfikatem, a do stałej, automatycznej pracy zamawiasz w Biurko certyfikat KSeF po pierwszym podłączeniu Profilem Zaufanym — z automatycznym pilnowaniem terminów ważności (typ Uwierzytelniający i typ Offline). Załóż konto w Biurko (każda nowa firma dostaje 14 dni planu TEAM bez karty, potem przechodzi na bezpłatny plan FREE) i wejdź w 2027 r. bez technicznego długu. Do ćwiczeń bez skutków prawnych użyj demo Biurko (demo.biurko.io, dostęp na 7 dni, środowisko demonstracyjne KSeF) — konto na app.biurko.io wysyła faktury do produkcyjnego KSeF, więc każda wysłana faktura jest prawdziwa.

FAQ

Do kiedy działają tokeny KSeF?

Zgodnie z obowiązującymi przepisami — do 31 grudnia 2026 r.; od 1 stycznia 2027 r. uwierzytelnianie integracji miałyby przejąć certyfikaty KSeF (logowanie podpisem lub pieczęcią zostaje). Na konsultacjach 9 czerwca 2026 r. MF zaproponowało utrzymanie tokenów (z ważnością od 1 do 365 dni), ale decyzji w formie przepisu jeszcze nie ma — bezpieczniej przejść na certyfikat KSeF. W okresie przejściowym (od 1 lutego 2026 r.) oba rozwiązania działają równolegle, a drugi kod QR w trybach offline pozostaje zarezerwowany dla certyfikatu.

Czym różni się certyfikat KSeF od tokena?

Token zawiera w sobie uprawnienia zadeklarowane przy jego generowaniu. Certyfikat KSeF potwierdza wyłącznie tożsamość (jak podpis kwalifikowany), a uprawnienia system sprawdza na bieżąco po NIP lub PESEL. Dodatkowo certyfikat typu Offline daje drugi kod QR (KOD II) na fakturach w trybach offline, czego token nie potrafi.

Jak uzyskać certyfikat KSeF?

Od 1 lutego 2026 r. wniosek o certyfikat składa się w Aplikacji Podatnika KSeF 2.0 lub przez API KSeF 2.0. Najpierw trzeba uwierzytelnić się jako podatnik lub osoba uprawniona — np. Profilem Zaufanym, podpisem kwalifikowanym albo pieczęcią kwalifikowaną (spółki). Certyfikat jest ważny maksymalnie 2 lata.

Czy potrzebuję certyfikatu typu Uwierzytelniający i typu Offline?

Tak, jeśli chcesz mieć pełne zabezpieczenie. Typ Uwierzytelniający służy do uwierzytelniania w KSeF (sesje interaktywne i wsadowe), a typ Offline jest potrzebny do drugiego kodu QR (KOD II) na fakturach w trybach offline24, niedostępności systemu i awaryjnym. Certyfikaty generuje się osobno — jeden nie obejmuje obu zastosowań.

Co się stanie, jeśli nie przejdę na certyfikaty przed 2027 r.?

W stanie prawnym na dziś integracja oparta na tokenie przestaje się uwierzytelniać 1 stycznia 2027 r. — program fakturowy traci połączenie z KSeF. Jeśli propozycja MF wejdzie w życie, token będzie działał dalej, ale z ważnością liczoną w dniach i bez drugiego kodu QR w trybach offline. Zgodnie z obecną ustawą kary z art. 106ni ustawy o VAT obowiązują od 1 stycznia 2027 r. Ministerstwo Finansów zapowiedziało 16 września 2026 r. ich przesunięcie na 1 stycznia 2028 r. — to projekt ustawy, jeszcze nieuchwalony. Przesunięcie dotyczy tylko kar, a nie samego obowiązku korzystania z KSeF. Bezpieczniej jest mieć certyfikat wcześniej, niż liczyć na zmianę przepisu.