Токен і сертифікат KSeF — це не одне й те саме в новій обгортці
Коротке нагадування контексту: кожен бізнес у Польщі зобов'язаний виставляти структуровані фактури через KSeF. Обов'язок запроваджується поетапно: великі платники — з 1 лютого 2026 р., решта підприємців — з 1 квітня 2026 р., найменші фірми — з 1 січня 2027 р. Ваша програма з'єднується з KSeF через API, і це з'єднання треба автентифікувати.
Сьогодні існують два механізми, і архітектурно вони принципово різні.
Токен — це ключ доступу, який містить у собі повноваження платника, задекларовані в момент генерації. Він не має терміну дії, і той, хто ним володіє, діє в KSeF у межах «зашитих» у нього прав.
Сертифікат KSeF — це виключно засіб підтвердження особи, концептуально схожий на кваліфікований електронний підпис (КЕП). Повноваження в сертифікат не вшиті: система перевіряє їх під час кожного входу за ідентифікатором NIP (податковий номер) або PESEL, записаним у сертифікаті. Змінили права працівника? Сертифікат лишається чинним — система просто застосує новий обсяг повноважень.
Графік такий:
Дата Що відбувається 1 листопада 2025 р. Старт подання заявок на сертифікати 1 лютого 2026 р. Запуск KSeF 2.0 — сертифікати й токени працюють паралельно 31 грудня 2026 р. Останній день роботи токенів за чинними приписами 1 січня 2027 р. Сертифікати — єдиний спосіб автентифікації
Стан на серпень 2026 року: цей графік випливає з чинних приписів. Але 9 червня 2026 р. Міністерство фінансів заявило, що токени залишаться в KSeF назавжди — зі строком дії від 1 до 365 днів. Це пропозиція з консультацій, а не норма: законопроєкту немає, тож поки що діє дата 31 грудня 2026 року. Що саме змінює ця заява, ми розібрали окремо. Одне певне за будь-якого результату: офлайн-режими потребують сертифіката, і токен їх не замінить.
З лютого 2026 року заявку на сертифікат подають через API KSeF 2.0 або в Aplikacja Podatnika KSeF 2.0 (офіційний застосунок платника) після автентифікації через Profil Zaufany (довірений профіль — польський аналог Дія.Підпису), кваліфікований підпис або кваліфіковану печатку (для компаній).
Чому ми не зробили підтримку токенів «на перехідний період»
Чесно? Спокуса була. Токенна інтеграція технічно проста: додаєш ключ до запиту — і працює. Сертифікати вимагають значно більшого: підпис XAdES-BES для автентифікації в API, керування приватними ключами, контроль термінів дії. Технічна документація Мінфіну не лишає сумнівів, що це інший рівень складності.
Але ми порахували альтернативну вартість. Підтримка токенів — це тижні роботи команди над механізмом з офіційно оголошеною датою смерті. Потім — примусова міграція всіх клієнтів у четвертому кварталі 2026 року, саме коли в бухгалтерів пік сезону, а KSeF переживає найбільше навантаження з моменту запуску обов'язку. Найгірший момент, щоб просити користувачів «згенеруйте нові облікові дані й налаштуйте інтеграцію з нуля».
Був і другий аргумент, важливіший: без сертифіката типу 2 немає офлайн-режимів. А офлайн-режими — це не екзотика, а базовий запобіжник безперервності фактурування.
Сертифікат типу 2 — те, чого токен ніколи не вмів
Міністерство фінансів видає два типи сертифікатів, і генеруються вони окремо:
Тип 1 (автентифікація) — вхід у KSeF в інтерактивній та пакетній сесії. Функціональний наступник сьогоднішнього токена.
Тип 2 (офлайн) — потрібен для позначення фактури кодом, що підтверджує особу виставника, у спеціальних режимах: offline24, офлайн через недоступність системи та аварійний режим.
Тип 2 — це справді нова можливість. Коли в KSeF технічна перерва або у вас зник інтернет у день виставлення, фактура, створена офлайн із QR-кодами на базі сертифіката типу 2, є повноцінною — її просто треба передати в систему у встановлений законом термін. Токен такого не дозволяв і не дозволить.
У Biurko обидва сертифікати працюють з першої версії інтеграції: тип 1 виконує вхід, тип 2 підписує офлайн-фактури, а верифікаційні посилання та QR-коди генеруються автоматично «під капотом». Користувач бачить лише повідомлення: «KSeF недоступний — фактуру виставлено в режимі offline24, ми надішлемо її автоматично після відновлення системи».
Міні-кейс: збій у п'ятницю о 16:40
Один із наших перших тестових клієнтів — JDG, ІТ-послуги, фактури «в останню хвилину» — натрапив на недоступність інтерфейсу KSeF просто перед вихідними. У системі на токені він побачив би помилку з'єднання й чекав. У Biurko фактура пішла в режимі offline24 з верифікаційними кодами, замовник одразу отримав PDF із QR, а в KSeF документ потрапив автоматично після відновлення доступності. Нуль дій з боку користувача.
Чого нам коштувало це рішення (чесна частина)
Щоб це не виглядало як «наше рішення було геніальним і безболісним»:
Онбординг став складнішим. З токеном користувач копіював рядок символів. Із сертифікатом треба спершу автентифікуватися в KSeF (Profil Zaufany, кваліфікований підпис або печатка для компаній), подати заявку й завантажити сертифікат. Ми зробили в Biurko покроковий майстер, але будьмо чесні — це більше кліків, ніж вставити токен.
Сертифікати мають термін дії. Максимум 2 роки від дати створення або вказаної початкової дати. Прострочений сертифікат зупиняє інтеграцію. Довелося будувати моніторинг термінів і завчасні сповіщення — для бухгалтерських компаній із десятками NIP-ів це окремий модуль, а не дрібниця «між іншим».
Крива навчання команди. XAdES-BES, керування ключами, контексти повноважень NIP/PESEL — перші тижні розробки йшли повільніше, ніж пішли б токенним шляхом.
І все ж ми не мігруємо нікого — і не доведеться, хай як вирішиться питання токенів. Залишиться термін із приписів? Для наших клієнтів 1 січня 2027 року не зміниться нічого. Токени залишать на нових умовах? Теж не зміниться, бо сертифікат типу 2 і далі єдиний шлях до офлайн-режимів. Саме в цьому й була ставка.
Що зробити у 2026 році — чекліст для інтеграцій на токені
З'ясуйте, на чому працює ваша інтеграція. Якщо ваша програма з'єднується з KSeF токеном, чинним терміном досі є 31 грудня 2026 року. Заява MF може його зняти, але поки норми немає — плануйте так, ніби термін діє.
Запитайте постачальника ПЗ про план міграції на сертифікати. Конкретно: чи підтримує він сертифікат типу 1 і типу 2, і відколи.
Отримайте сертифікат заздалегідь. Заявка подається в Aplikacja Podatnika KSeF 2.0 після автентифікації через Profil Zaufany або кваліфікований підпис. Не чекайте грудня.
Маєте spółka z o.o.? Оформіть кваліфіковану печатку (pieczęć kwalifikowana). Сертифікат на дані компанії (NIP фірми) вимагає автентифікації печаткою, а її оформлення займає час.
Сплануйте керування сертифікатами в організації. Окремі сертифікати для власника, бухгалтерії та систем продажу — відкликання одного не блокує решту.
Запишіть дату закінчення дії. Сертифікат чинний максимум 2 роки — поставте нагадування про поновлення або оберіть інструмент, який стежить за цим за вас.
Підсумок
Токени KSeF були тимчасовим містком. Чинні приписи закривають його 31 грудня 2026 року, а Міністерство фінансів заявило, що залишить токени назавжди з коротким строком дії — законодавчого рішення досі немає. Незалежно від нього сертифікати — це не просто новий спосіб входу, а єдиний шлях до офлайн-режимів і безпечніша модель керування доступом.
З Biurko вам не треба планувати жодної міграції: інтеграція з KSeF від першого дня працює на сертифікатах — типу 1 і типу 2, з автоматичним контролем термінів дії. Спробуйте Biurko безкоштовно протягом 14 днів і увійдіть у 2027 рік без технічного боргу.
FAQ
До якого часу працюють токени KSeF?
За чинними приписами — до 31 грудня 2026 року; з 1 січня 2027 року автентифікацію мали б перебрати виключно сертифікати KSeF. Однак 9 червня 2026 р. Міністерство фінансів заявило, що токени залишаться назавжди зі строком дії від 1 до 365 днів — це пропозиція з консультацій, а не чинна норма. У перехідний період (з 1 лютого 2026 р.) обидва механізми діють паралельно, а офлайн-режими лишаються за сертифікатом.
Що таке сертифікат KSeF?
Сертифікат KSeF — це електронне посвідчення особи для автентифікації в державній системі е-фактур Польщі, концептуально схоже на кваліфікований електронний підпис. На відміну від токена, він не містить повноважень — KSeF перевіряє актуальні права власника під час кожного входу за NIP або PESEL.
Чим відрізняються сертифікати типу 1 і типу 2?
Сертифікат типу 1 використовується для автентифікації в KSeF (інтерактивні та пакетні сесії API). Сертифікат типу 2 обов'язковий для позначення фактур, виставлених в офлайн-режимах (offline24, недоступність системи, аварійний режим), кодами підтвердження особи. Видаються окремо — один сертифікат не покриває обидва призначення.
Як українському бізнесу в Польщі отримати сертифікат KSeF?
Так само, як польському: через Aplikacja Podatnika KSeF 2.0 або API після автентифікації через Profil Zaufany чи кваліфікований підпис (для JDG) або кваліфіковану печатку на NIP компанії (для spółka z o.o.). Сертифікат чинний до 2 років, компанія може видати кілька сертифікатів для різних команд.
Що станеться, якщо у 2027 році я досі на токені?
За чинним станом права автентифікація токеном перестає працювати 1 січня 2027 року, і програма для фактур втрачає з'єднання з KSeF. Якщо заява MF стане нормою, токен працюватиме далі, але зі строком дії в днях і без офлайн-режимів. Оскільки з 1 січня 2027 року діють і штрафи за порушення обов'язків KSeF, безпечніше мати сертифікат заздалегідь, ніж розраховувати на зміну припису.