Токен і сертифікат KSeF — це не одне й те саме в новій обгортці
Коротке нагадування контексту: кожен бізнес у Польщі зобов'язаний виставляти структуровані фактури через KSeF. Обов'язок запроваджується поетапно: великі платники — з 1 лютого 2026 р., решта підприємців — з 1 квітня 2026 р., найменші фірми — з 1 січня 2027 р. Ваша програма з'єднується з KSeF через API, і це з'єднання треба автентифікувати.
Сьогодні існують два механізми, і архітектурно вони принципово різні.
Токен — це ключ доступу, який містить у собі повноваження платника, задекларовані в момент генерації. Він не має терміну дії, і той, хто ним володіє, діє в KSeF у межах «зашитих» у нього прав.
Сертифікат KSeF — це виключно засіб підтвердження особи, концептуально схожий на кваліфікований електронний підпис (КЕП). Повноваження в сертифікат не вшиті: система перевіряє їх під час кожного входу за ідентифікатором NIP (податковий номер) або PESEL, записаним у сертифікаті. Змінили права працівника? Сертифікат лишається чинним — система просто застосує новий обсяг повноважень.
Графік такий:
Дата Що відбувається 1 листопада 2025 р. Старт подання заявок на сертифікати 1 лютого 2026 р. Запуск KSeF 2.0 — сертифікати й токени працюють паралельно 31 грудня 2026 р. Останній день роботи токенів 1 січня 2027 р. Сертифікати — єдиний спосіб автентифікації
З лютого 2026 року заявку на сертифікат подають через API KSeF 2.0 або в Aplikacja Podatnika KSeF 2.0 (офіційний застосунок платника) після автентифікації через Profil Zaufany (довірений профіль — польський аналог Дія.Підпису), кваліфікований підпис або кваліфіковану печатку (для компаній).
Чому ми не зробили підтримку токенів «на перехідний період»
Чесно? Спокуса була. Токенна інтеграція технічно проста: додаєш ключ до запиту — і працює. Сертифікати вимагають значно більшого: підпис XAdES-BES для автентифікації в API, керування приватними ключами, контроль термінів дії. Технічна документація Мінфіну не лишає сумнівів, що це інший рівень складності.
Але ми порахували альтернативну вартість. Підтримка токенів — це тижні роботи команди над механізмом з офіційно оголошеною датою смерті. Потім — примусова міграція всіх клієнтів у четвертому кварталі 2026 року, саме коли в бухгалтерів пік сезону, а KSeF переживає найбільше навантаження з моменту запуску обов'язку. Найгірший момент, щоб просити користувачів «згенеруйте нові облікові дані й налаштуйте інтеграцію з нуля».
Був і другий аргумент, важливіший: без сертифіката типу 2 немає офлайн-режимів. А офлайн-режими — це не екзотика, а базовий запобіжник безперервності фактурування.
Сертифікат типу 2 — те, чого токен ніколи не вмів
Міністерство фінансів видає два типи сертифікатів, і генеруються вони окремо:
Тип 1 (автентифікація) — вхід у KSeF в інтерактивній та пакетній сесії. Функціональний наступник сьогоднішнього токена.
Тип 2 (офлайн) — потрібен для позначення фактури кодом, що підтверджує особу виставника, у спеціальних режимах: offline24, офлайн через недоступність системи та аварійний режим.
Тип 2 — це справді нова можливість. Коли в KSeF технічна перерва або у вас зник інтернет у день виставлення, фактура, створена офлайн із QR-кодами на базі сертифіката типу 2, є повноцінною — її просто треба передати в систему у встановлений законом термін. Токен такого не дозволяв і не дозволить.
У Biurko обидва сертифікати працюють з першої версії інтеграції: тип 1 виконує вхід, тип 2 підписує офлайн-фактури, а верифікаційні посилання та QR-коди генеруються автоматично «під капотом». Користувач бачить лише повідомлення: «KSeF недоступний — фактуру виставлено в режимі offline24, ми надішлемо її автоматично після відновлення системи».
Міні-кейс: збій у п'ятницю о 16:40
Один із наших перших тестових клієнтів — JDG, ІТ-послуги, фактури «в останню хвилину» — натрапив на недоступність інтерфейсу KSeF просто перед вихідними. У системі на токені він побачив би помилку з'єднання й чекав. У Biurko фактура пішла в режимі offline24 з верифікаційними кодами, замовник одразу отримав PDF із QR, а в KSeF документ потрапив автоматично після відновлення доступності. Нуль дій з боку користувача.
Чого нам коштувало це рішення (чесна частина)
Щоб це не виглядало як «наше рішення було геніальним і безболісним»:
Онбординг став складнішим. З токеном користувач копіював рядок символів. Із сертифікатом треба спершу автентифікуватися в KSeF (Profil Zaufany, кваліфікований підпис або печатка для компаній), подати заявку й завантажити сертифікат. Ми зробили в Biurko покроковий майстер, але будьмо чесні — це більше кліків, ніж вставити токен.
Сертифікати мають термін дії. Максимум 2 роки від дати створення або вказаної початкової дати. Прострочений сертифікат зупиняє інтеграцію. Довелося будувати моніторинг термінів і завчасні сповіщення — для бухгалтерських компаній із десятками NIP-ів це окремий модуль, а не дрібниця «між іншим».
Крива навчання команди. XAdES-BES, керування ключами, контексти повноважень NIP/PESEL — перші тижні розробки йшли повільніше, ніж пішли б токенним шляхом.
І все ж сьогодні, за пів року до вимкнення токенів, ми не мігруємо нікого. Для наших клієнтів 1 січня 2027 року не зміниться нічого. Саме в цьому й була ставка.
Що зробити у 2026 році — чекліст перед вимкненням токенів
З'ясуйте, на чому працює ваша інтеграція. Якщо ваша програма з'єднується з KSeF токеном — ваш дедлайн 31 грудня 2026 року.
Запитайте постачальника ПЗ про план міграції на сертифікати. Конкретно: чи підтримує він сертифікат типу 1 і типу 2, і відколи.
Отримайте сертифікат заздалегідь. Заявка подається в Aplikacja Podatnika KSeF 2.0 після автентифікації через Profil Zaufany або кваліфікований підпис. Не чекайте грудня.
Маєте spółka z o.o.? Оформіть кваліфіковану печатку (pieczęć kwalifikowana). Сертифікат на дані компанії (NIP фірми) вимагає автентифікації печаткою, а її оформлення займає час.
Сплануйте керування сертифікатами в організації. Окремі сертифікати для власника, бухгалтерії та систем продажу — відкликання одного не блокує решту.
Запишіть дату закінчення дії. Сертифікат чинний максимум 2 роки — поставте нагадування про поновлення або оберіть інструмент, який стежить за цим за вас.
Підсумок
Токени KSeF були тимчасовим містком, і 31 грудня 2026 року цей місток закривається. Сертифікати — це не просто новий спосіб входу, а єдиний шлях до офлайн-режимів і безпечніша модель керування доступом.
З Biurko вам не треба планувати жодної міграції: інтеграція з KSeF від першого дня працює на сертифікатах — типу 1 і типу 2, з автоматичним контролем термінів дії. Спробуйте Biurko безкоштовно протягом 14 днів і увійдіть у 2027 рік без технічного боргу.
FAQ
До якого часу працюють токени KSeF?
Токени KSeF працюють до 31 грудня 2026 року. З 1 січня 2027 року єдиним способом автентифікації в польській системі е-фактур стануть сертифікати KSeF. У перехідний період (з 1 лютого 2026 р.) обидва механізми діють паралельно, але токени не підтримують офлайн-режими.
Що таке сертифікат KSeF?
Сертифікат KSeF — це електронне посвідчення особи для автентифікації в державній системі е-фактур Польщі, концептуально схоже на кваліфікований електронний підпис. На відміну від токена, він не містить повноважень — KSeF перевіряє актуальні права власника під час кожного входу за NIP або PESEL.
Чим відрізняються сертифікати типу 1 і типу 2?
Сертифікат типу 1 використовується для автентифікації в KSeF (інтерактивні та пакетні сесії API). Сертифікат типу 2 обов'язковий для позначення фактур, виставлених в офлайн-режимах (offline24, недоступність системи, аварійний режим), кодами підтвердження особи. Видаються окремо — один сертифікат не покриває обидва призначення.
Як українському бізнесу в Польщі отримати сертифікат KSeF?
Так само, як польському: через Aplikacja Podatnika KSeF 2.0 або API після автентифікації через Profil Zaufany чи кваліфікований підпис (для JDG) або кваліфіковану печатку на NIP компанії (для spółka z o.o.). Сертифікат чинний до 2 років, компанія може видати кілька сертифікатів для різних команд.
Що станеться, якщо у 2027 році я досі на токені?
З 1 січня 2027 року автентифікація токеном просто перестане працювати — ваша програма для фактур втратить з'єднання з KSeF. Оскільки з цієї ж дати починають діяти штрафи за порушення обов'язків KSeF, мігруйте на сертифікати завчасно, протягом 2026 року.