Токен і сертифікат KSeF — це не одне й те саме в новій обгортці

Коротке нагадування контексту: кожен бізнес у Польщі зобов'язаний виставляти структуровані фактури через KSeF. Обов'язок запроваджується поетапно: великі платники — з 1 лютого 2026 р., решта підприємців — з 1 квітня 2026 р., найменші фірми — з 1 січня 2027 р. Ваша програма з'єднується з KSeF через API, і це з'єднання треба автентифікувати.

Сьогодні існують два механізми, і архітектурно вони принципово різні.

Токен — це ключ доступу, який містить у собі повноваження платника, задекларовані в момент генерації. Він не має терміну дії, і той, хто ним володіє, діє в KSeF у межах «зашитих» у нього прав.

Сертифікат KSeF — це виключно засіб підтвердження особи, концептуально схожий на кваліфікований електронний підпис (КЕП). Повноваження в сертифікат не вшиті: система перевіряє їх під час кожного входу за ідентифікатором NIP (податковий номер) або PESEL, записаним у сертифікаті. Змінили права працівника? Сертифікат лишається чинним — система просто застосує новий обсяг повноважень.

Графік такий:

Станом на 8 жовтня 2026 року: цей графік випливає з чинних приписів. За чинними правилами токени KSeF перестають діяти 31 грудня 2026 року. На консультаціях 9 червня 2026 року Міністерство фінансів запропонувало їх зберегти (зі строком дії від 1 до 365 днів), але рішення у формі акта ще немає — безпечніше перейти на сертифікат KSeF. Що саме пропонує MF, ми розібрали окремо. Одне певне за будь-якого результату: другий QR-код (KOD II) в офлайн-режимах потребує сертифіката, і токен його не замінить.

З лютого 2026 року заявку на сертифікат подають через API KSeF 2.0 або в Aplikacja Podatnika KSeF 2.0 (офіційний застосунок платника) після автентифікації через Profil Zaufany (довірений профіль — польський аналог Дія.Підпису), кваліфікований підпис або кваліфіковану печатку (для компаній).

Чому ми не зробили підтримку токенів «на перехідний період»

Чесно? Спокуса була. Токенна інтеграція технічно проста: додаєш ключ до запиту — і працює. Сертифікати вимагають значно більшого: підпис XAdES-BES для автентифікації в API, керування приватними ключами, контроль термінів дії. Технічна документація Мінфіну не лишає сумнівів, що це інший рівень складності.

Але ми порахували альтернативну вартість. Підтримка токенів — це тижні роботи команди над механізмом з офіційно оголошеною датою смерті. Потім — примусова міграція всіх клієнтів у четвертому кварталі 2026 року, саме коли в бухгалтерів пік сезону, а KSeF переживає найбільше навантаження з моменту запуску обов'язку. Найгірший момент, щоб просити користувачів «згенеруйте нові облікові дані й налаштуйте інтеграцію з нуля».

Був і другий аргумент, важливіший: без сертифіката типу Offline немає другого QR-коду в офлайн-режимах. А офлайн-режими — це не екзотика, а базовий запобіжник безперервності фактурування.

Сертифікат типу Offline — те, чого токен ніколи не вмів

Міністерство фінансів видає два типи сертифікатів, і генеруються вони окремо:

• Тип Uwierzytelniający (автентифікація) — вхід у KSeF в інтерактивній та пакетній сесії. Функціональний наступник сьогоднішнього токена.

• Тип Offline — потрібен для другого QR-коду (KOD II), що підтверджує особу виставника, на фактурах у спеціальних режимах: offline24, офлайн через недоступність системи та аварійний режим.

Тип Offline — це справді нова можливість. Коли в KSeF технічна перерва або у вас зник інтернет у день виставлення, фактура, створена офлайн із QR-кодами, другий з яких на базі сертифіката типу Offline, є повноцінною — її просто треба передати в систему у встановлений законом термін. Токен такого не дозволяв і не дозволить.

У Biurko обидва сертифікати працюють з першої версії інтеграції: тип Uwierzytelniający виконує вхід, тип Offline підписує другий QR-код офлайн-фактур, а верифікаційні посилання та QR-коди генеруються автоматично «під капотом». Користувач бачить лише, що фактуру виставлено в режимі offline24 і її буде надіслано автоматично після відновлення системи.

Приклад: збій у п'ятницю о 16:40

Візьмімо JDG — ІТ-послуги, фактури «в останню хвилину» — у якого просто перед вихідними падає інтерфейс KSeF. У системі на токені він побачив би помилку з'єднання й чекав. У Biurko фактура йде в режимі offline24 з верифікаційними кодами, замовник одразу отримує PDF із QR (за наявності сертифіката типу Offline), а в KSeF документ потрапляє автоматично після відновлення доступності. Нуль дій з боку користувача.

Чого нам коштувало це рішення (чесна частина)

Щоб це не виглядало як «наше рішення було геніальним і безболісним»:

Онбординг став складнішим. З токеном користувач копіював рядок символів. Із сертифікатом треба спершу автентифікуватися в KSeF (Profil Zaufany, кваліфікований підпис або печатка для компаній), подати заявку й завантажити сертифікат. Ми зробили в Biurko покроковий майстер, але будьмо чесні — це більше кліків, ніж вставити токен.

Сертифікати мають термін дії. Максимум 2 роки від дати створення або вказаної початкової дати. Прострочений сертифікат зупиняє інтеграцію. Довелося будувати моніторинг термінів і завчасні сповіщення — для бухгалтерських компаній із десятками NIP-ів це окремий модуль, а не дрібниця «між іншим».

Крива навчання команди. XAdES-BES, керування ключами, контексти повноважень NIP/PESEL — перші тижні розробки йшли повільніше, ніж пішли б токенним шляхом.

І все ж ми не мігруємо нікого: Biurko ніколи не підключалося токеном, тож завершення дії токенів у нас нічого не змінює, хай як вирішиться питання токенів. Залишиться термін із приписів? Для наших клієнтів 1 січня 2027 року не зміниться нічого. Токени залишать на нових умовах? Теж не зміниться, бо другий QR-код в офлайн-режимах і далі потребує сертифіката типу Offline. Саме в цьому й була ставка.

Що зробити у 2026 році — чекліст для інтеграцій на токені

1. З'ясуйте, на чому працює ваша інтеграція. Якщо ваша програма з'єднується з KSeF токеном, чинним терміном досі є 31 грудня 2026 року. Пропозиція MF може його зняти, але поки норми немає — плануйте так, ніби термін діє.

2. Запитайте постачальника ПЗ про план міграції на сертифікати. Конкретно: чи підтримує він сертифікат типу Uwierzytelniający і типу Offline, і відколи.

3. Отримайте сертифікат заздалегідь. Заявка подається в Aplikacja Podatnika KSeF 2.0 після автентифікації через Profil Zaufany або кваліфікований підпис. Не чекайте грудня.

4. Маєте spółka z o.o.? Розгляньте кваліфіковану печатку (pieczęć kwalifikowana). Сертифікат на дані компанії (NIP фірми) може вимагати автентифікації печаткою, а її оформлення займає час.

5. Сплануйте керування сертифікатами в організації. Окремі сертифікати для власника, бухгалтерії та систем продажу — відкликання одного не блокує решту.

6. Запишіть дату закінчення дії. Сертифікат чинний максимум 2 роки — поставте нагадування про поновлення або оберіть інструмент, який стежить за цим за вас.

Підсумок

Токени KSeF були тимчасовим містком. Чинні приписи закривають його 31 грудня 2026 року, а Міністерство фінансів запропонувало залишити токени з коротким строком дії — законодавчого рішення досі немає. Незалежно від нього сертифікати — це не просто новий спосіб входу, а єдиний шлях до другого QR-коду в офлайн-режимах і безпечніша модель керування доступом.

З Biurko вам не треба планувати міграцію з токена: Biurko ніколи не підключалося токеном: ви підключаєтеся через Profil Zaufany (за замовчуванням) або сертифікат, а для постійної автоматичної роботи замовляєте в Biurko сертифікат KSeF після першого підключення через Profil Zaufany, з автоматичним контролем термінів дії (типи Uwierzytelniający і Offline). Створіть акаунт у Biurko (кожна нова фірма отримує 14 днів тарифу TEAM без картки, потім переходить на безкоштовний FREE) і увійдіть у 2027 рік без технічного боргу. Щоб потренуватися без юридичних наслідків, скористайтеся демо Biurko (demo.biurko.io, доступ на 7 днів, демонстраційне середовище KSeF); акаунт на app.biurko.io надсилає фактури до робочого KSeF — кожна надіслана фактура справжня.

FAQ

До якого часу працюють токени KSeF?

За чинними правилами токени KSeF перестають діяти 31 грудня 2026 року. На консультаціях 9 червня 2026 року Міністерство фінансів запропонувало їх зберегти (зі строком дії від 1 до 365 днів), але рішення у формі акта ще немає — безпечніше перейти на сертифікат KSeF. У перехідний період (з 1 лютого 2026 р.) обидва механізми діють паралельно, а другий QR-код в офлайн-режимах лишається за сертифікатом.

Що таке сертифікат KSeF?

Сертифікат KSeF — це електронне посвідчення особи для автентифікації в державній системі е-фактур Польщі, концептуально схоже на кваліфікований електронний підпис. На відміну від токена, він не містить повноважень — KSeF перевіряє актуальні права власника під час кожного входу за NIP або PESEL.

Чим відрізняються сертифікати типу Uwierzytelniający і типу Offline?

Сертифікат типу Uwierzytelniający використовується для автентифікації в KSeF (інтерактивні та пакетні сесії API). Сертифікат типу Offline дає другий QR-код (KOD II) на фактурах, виставлених в офлайн-режимах (offline24, недоступність системи, аварійний режим). Видаються окремо — один сертифікат не покриває обидва призначення.

Як українському бізнесу в Польщі отримати сертифікат KSeF?

Так само, як польському: через Aplikacja Podatnika KSeF 2.0 або API після автентифікації, наприклад, через Profil Zaufany чи кваліфікований підпис (для JDG) або кваліфіковану печатку на NIP компанії (для spółka z o.o.). Сертифікат чинний до 2 років, компанія може видати кілька сертифікатів для різних команд.

Що станеться, якщо у 2027 році я досі на токені?

За чинним станом права автентифікація токеном перестає працювати 1 січня 2027 року, і програма для фактур втрачає з'єднання з KSeF. Якщо пропозиція MF стане нормою, токен працюватиме далі, але зі строком дії в днях і без другого QR-коду в офлайн-режимах. За чинним законом штрафи за ст. 106ni закону про VAT діють з 1 січня 2027 року. 16 вересня 2026 року Міністерство фінансів оголосило про їх перенесення на 1 січня 2028 року — це законопроєкт, ще не ухвалений, і він переносить лише штрафи, а не сам обов'язок працювати в KSeF. Безпечніше мати сертифікат заздалегідь, ніж розраховувати на зміну припису.