Token vs certyfikat KSeF — to nie jest ta sama rzecz w nowym opakowaniu
Na pierwszy rzut oka oba narzędzia robią to samo: pozwalają programowi do fakturowania połączyć się z KSeF w Twoim imieniu. Różnica architektoniczna jest jednak fundamentalna.
Token to klucz dostępu, który zawiera w sobie uprawnienia zadeklarowane w momencie jego wygenerowania. Nie ma terminu ważności, a po wygenerowaniu żyje własnym życiem — kto go ma, ten działa w KSeF w ramach zaszytych w nim uprawnień.
Certyfikat KSeF jest wyłącznie środkiem potwierdzenia tożsamości — działa podobnie jak podpis kwalifikowany. Uprawnienia nie są zaszyte w certyfikacie: system sprawdza je przy każdym logowaniu na podstawie identyfikatora (NIP lub PESEL) zapisanego w certyfikacie. Zmieniasz uprawnienia pracownika? Certyfikat pozostaje ważny, a system po prostu uwzględnia nowy zakres.
Harmonogram wygląda tak:
Data Co się dzieje 1 listopada 2025 r. Start wnioskowania o certyfikaty (w Module Certyfikatów i Uprawnień) 1 lutego 2026 r. Start KSeF 2.0 — certyfikaty i tokeny działają równolegle 31 grudnia 2026 r. Ostatni dzień działania tokenów według obowiązujących przepisów 1 stycznia 2027 r. Certyfikaty KSeF jako jedyna metoda uwierzytelniania
Stan na sierpień 2026 r.: ten harmonogram wynika z przepisów, które nadal obowiązują. 9 czerwca 2026 r. Ministerstwo Finansów zapowiedziało jednak, że tokeny zostaną w KSeF na stałe — z terminem ważności od 1 do 365 dni. To zapowiedź z konsultacji, a nie przepis: projektu ustawy nie ma, więc do odwołania obowiązuje data 31 grudnia 2026 r. Co dokładnie zmienia ta zapowiedź, opisaliśmy osobno. Jedno jest pewne niezależnie od rozstrzygnięcia: tryby offline wymagają certyfikatu i token ich nie obsłuży.
Od lutego 2026 r. wniosek o certyfikat składa się w API KSeF 2.0 lub w Aplikacji Podatnika KSeF 2.0, po uwierzytelnieniu np. Profilem Zaufanym, podpisem kwalifikowanym albo pieczęcią kwalifikowaną (w przypadku spółek).
Dlaczego nie zbudowaliśmy obsługi tokenów „na chwilę"
Szczerze: kusiło. Integracja tokenowa jest technicznie prostsza — doklejasz nagłówek z kluczem i działa. Certyfikaty wymagają znacznie więcej: obsługi podpisu XAdES-BES przy uwierzytelnianiu w API, zarządzania kluczami prywatnymi, pilnowania terminów ważności. Dokumentacja techniczna MF nie pozostawia złudzeń, że to inny poziom złożoności.
Policzyliśmy jednak koszt alternatywny. Budowa obsługi tokenów to kilka tygodni pracy zespołu nad mechanizmem z ogłoszoną datą wygaszenia. Potem migracja wszystkich klientów — w czwartym kwartale 2026 r., czyli dokładnie wtedy, gdy biura rachunkowe mają szczyt sezonu, a KSeF przeżywa największe obciążenie od startu obowiązku. Najgorszy możliwy moment na prośbę „wygeneruj nowe poświadczenie i skonfiguruj integrację od zera".
Był też drugi argument, ważniejszy: bez certyfikatu typu 2 nie ma trybów offline. A tryby offline to nie egzotyka — to podstawowe zabezpieczenie ciągłości fakturowania.
Certyfikat typu 2 — rzecz, której token nigdy nie potrafił
Ministerstwo Finansów wydaje dwa typy certyfikatów, generowane osobno:
Typ 1 (uwierzytelnienie) — logowanie do KSeF w sesji interaktywnej i wsadowej. To odpowiednik dzisiejszego tokena.
Typ 2 (offline) — wymagany do oznaczenia faktury kodem potwierdzającym tożsamość wystawcy w trybach szczególnych: offline24, offline przy niedostępności systemu oraz w trybie awaryjnym.
Ten drugi typ to realna nowa funkcjonalność. Gdy KSeF ma przerwę techniczną albo padnie Ci internet w dniu wysyłki, faktura wystawiona w trybie offline z kodami QR wygenerowanymi na bazie certyfikatu typu 2 jest pełnoprawna — wystarczy przesłać ją do systemu w ustawowym terminie. Token nigdy tego nie umożliwiał i nie umożliwi.
W Biurku oba certyfikaty obsługujemy od pierwszej wersji integracji: typ 1 loguje, typ 2 podpisuje faktury offline, a generowanie linków weryfikacyjnych i kodów QR dzieje się automatycznie pod spodem. Użytkownik widzi tylko komunikat „KSeF niedostępny — faktura wystawiona w trybie offline24, wyślemy ją automatycznie po przywróceniu systemu".
Mini-case: awaria w piątek o 16:40
Jeden z naszych pierwszych klientów testowych — JDG, usługi IT, faktury wystawiane „na ostatnią chwilę" — trafił na niedostępność interfejsu KSeF tuż przed weekendem. W systemie opartym na tokenie zobaczyłby błąd połączenia i czekał. W Biurku faktura poszła w trybie offline24 z kodami weryfikacyjnymi, klient dostał PDF z QR od ręki, a do KSeF dokument trafił automatycznie po przywróceniu dostępności. Zero akcji ze strony użytkownika.
Czego ta decyzja nas kosztowała (uczciwie)
Żeby nie było, że to tekst w stylu „nasza decyzja była genialna i bezbolesna":
Onboarding jest trudniejszy. Z tokenem użytkownik kopiował ciąg znaków. Z certyfikatem musi najpierw uwierzytelnić się w KSeF (Profil Zaufany, podpis kwalifikowany lub pieczęć kwalifikowana dla spółek), złożyć wniosek i pobrać certyfikat. Zbudowaliśmy w Biurku kreator, który prowadzi przez ten proces krok po kroku, ale nie oszukujmy się — to więcej kliknięć niż wklejenie tokena.
Certyfikaty wygasają. Maksymalna ważność to 2 lata od daty wytworzenia lub wskazanej daty początkowej. Wygaśnięcie oznacza zatrzymanie integracji. Musieliśmy zbudować monitoring terminów i powiadomienia z wyprzedzeniem — dla biur rachunkowych obsługujących dziesiątki NIP-ów to osobny moduł, nie feature „przy okazji".
Krzywa uczenia zespołu. XAdES-BES, zarządzanie kluczami, konteksty uprawnień NIP/PESEL — pierwsze tygodnie developmentu były wolniejsze, niż gdybyśmy poszli drogą tokenową.
Mimo to nie migrujemy dziś nikogo — i nie będziemy musieli niezależnie od tego, jak skończy się sprawa tokenów. Zostanie termin z przepisów? Nasi klienci nie mają przed sobą żadnej zmiany 1 stycznia 2027 r. Tokeny zostaną na nowych zasadach? Nadal nie mają, bo certyfikat typu 2 i tak jest jedyną drogą do trybów offline. I to była cała stawka tej decyzji.
Co zrobić w 2026 r. — checklist dla integracji na tokenie
Sprawdź, na czym działa Twoja integracja. Jeśli Twój program fakturowy łączy się z KSeF tokenem, obowiązującym terminem jest nadal 31 grudnia 2026 r. Zapowiedź MF może go znieść, ale dopóki nie ma przepisu, planuj tak, jakby termin obowiązywał.
Zapytaj dostawcę oprogramowania o plan migracji na certyfikaty. Konkretnie: czy obsługuje certyfikat typu 1 i typu 2, i od kiedy.
Wygeneruj certyfikat z wyprzedzeniem. Wniosek złożysz w Aplikacji Podatnika KSeF 2.0 po uwierzytelnieniu Profilem Zaufanym lub podpisem kwalifikowanym. Nie czekaj na grudzień.
Spółka? Przygotuj pieczęć kwalifikowaną. Certyfikat na dane podmiotu (NIP spółki) wymaga uwierzytelnienia pieczęcią — jej wyrobienie trwa, więc zacznij wcześniej.
Zaplanuj zarządzanie certyfikatami w organizacji. Osobne certyfikaty dla właściciela, księgowości i systemów sprzedażowych — unieważnienie jednego nie blokuje wtedy reszty.
Zanotuj datę ważności. Certyfikat działa maksymalnie 2 lata — ustaw przypomnienie o odnowieniu albo wybierz narzędzie, które pilnuje tego za Ciebie.
Podsumowanie
Tokeny KSeF były rozwiązaniem pomostowym. Obowiązujące przepisy kończą ten pomost 31 grudnia 2026 r., a Ministerstwo Finansów zapowiedziało, że zostawi je na stałe z krótkim terminem ważności — rozstrzygnięcia legislacyjnego wciąż nie ma. Niezależnie od niego certyfikaty to nie tylko nowy sposób logowania: to jedyna droga do trybów offline i bezpieczniejszy model zarządzania dostępem.
W Biurku nie musisz planować żadnej migracji, bo integracja z KSeF od pierwszego dnia działa na certyfikatach — typu 1 i typu 2, z automatycznym pilnowaniem terminów ważności. Przetestuj Biurko bezpłatnie przez 14 dni i wejdź w 2027 r. bez technicznego długu.
FAQ
Do kiedy działają tokeny KSeF?
Zgodnie z obowiązującymi przepisami — do 31 grudnia 2026 r.; od 1 stycznia 2027 r. uwierzytelnianie miałyby przejąć wyłącznie certyfikaty KSeF. 9 czerwca 2026 r. Ministerstwo Finansów zapowiedziało jednak, że tokeny zostaną na stałe, z ważnością od 1 do 365 dni — to propozycja z konsultacji, nie obowiązujący przepis. W okresie przejściowym (od 1 lutego 2026 r.) oba rozwiązania działają równolegle, a tryby offline pozostają zarezerwowane dla certyfikatu.
Czym różni się certyfikat KSeF od tokena?
Token zawiera w sobie uprawnienia zadeklarowane przy jego generowaniu. Certyfikat KSeF potwierdza wyłącznie tożsamość (jak podpis kwalifikowany), a uprawnienia system sprawdza na bieżąco po NIP lub PESEL. Dodatkowo certyfikat typu 2 umożliwia wystawianie faktur w trybach offline, czego token nie potrafi.
Jak uzyskać certyfikat KSeF?
Od 1 lutego 2026 r. wniosek o certyfikat składa się w Aplikacji Podatnika KSeF 2.0 lub przez API KSeF 2.0. Najpierw trzeba uwierzytelnić się jako podatnik lub osoba uprawniona — np. Profilem Zaufanym, podpisem kwalifikowanym albo pieczęcią kwalifikowaną (spółki). Certyfikat jest ważny maksymalnie 2 lata.
Czy potrzebuję certyfikatu typu 1 i typu 2?
Tak, jeśli chcesz mieć pełne zabezpieczenie. Certyfikat typu 1 służy do uwierzytelniania w KSeF (sesje interaktywne i wsadowe), a typu 2 jest wymagany do oznaczania faktur w trybach offline24, niedostępności systemu i awaryjnym. Certyfikaty generuje się osobno — jeden nie obejmuje obu zastosowań.
Co się stanie, jeśli nie przejdę na certyfikaty przed 2027 r.?
W stanie prawnym na dziś integracja oparta na tokenie przestaje się uwierzytelniać 1 stycznia 2027 r. — program fakturowy traci połączenie z KSeF. Jeśli zapowiedź MF wejdzie w życie, token będzie działał dalej, ale z ważnością liczoną w dniach i bez dostępu do trybów offline. Ponieważ od 1 stycznia 2027 r. obowiązują też kary za naruszenia obowiązków KSeF, bezpieczniej jest mieć certyfikat wcześniej, niż liczyć na zmianę przepisu.