System KSeF (czyli Krajowego Systemu eFaktur) dotyczy zarówno osób fizycznych prowadzących działalność gospodarczą jak też spółek prawa handlowego. Wejście w życie przepisów o KSeF oznacza, że prędzej lub później każdy przedsiębiorca bez wyjątku będzie musiał wykorzystywać ten program, a w celu zalogowania w KSeF i korzystania z niego dokonać stosownego "uwierzytelnienia".
Ministerstwo Finansów po długim czasie ciszy, w końcu 3 listopad 2025r. udostępniło środowisko testowe Aplikacji Podatnika KSeF 2.0, a 15 listopada środowisko przedprodukcyjne (Demo), w którym można już się zalogować oraz sprawdzić jak projektowany system KSeF wygląda. Środowisko przedprodukcyjne daje możliwość wystawiania i otrzymywania faktur w warunkach zbliżonych do tych, które będą dostępne od 1 lutego 2026r. jest jednak cały czas poprawiane w wyniku licznych błędów.
SPIS TREŚCI
I. Co należy zrobić przed zalogowaniem do systemów KSeF?
2) Sposoby uwierzytelnienia w KSeF
3) Czym jest Moduł Certyfikatów i Uprawnień (MCU)?
4) Do czego przydaje się certyfikat KSeF w firmie?
5) Czym różni się certyfikat KSeF od uprawnienia?
6) Kiedy będziemy korzystać z Certyfikatów?
7) W jakich trybach można wysyłać faktury?
II. Logowanie w Module Certyfikatów i Uprawnień (MCU) KSeF
1) Moduł Certyfikatów i Uprawnień
III. Generowanie Certyfikatu w Module Certyfikatów i Uprawnień (MCU) KSeF
2) Generowanie klucza i złożenie wniosku o wydanie certyfikatów
I. Co należy zrobić przed zalogowaniem do systemów KSeF?
Z uwagi na ograniczone lub właściwie niejasne materiały Ministerstwa zdecydowaliśmy się Państwu przybliżyć właśnie niniejszą ścieżkę logowania do KSeF krok po kroku wraz z poprzedzającą go procedurą właściwego uzupełnienia formularza ZAW-FA dla osób prawnych.
1) Logowanie do systemów KSeF
2) Sposoby uwierzytelnienia w KSeF
KSeF wyróżnia pięć metod uwierzytelnienia, 3 "Standardowe dla człowieka" do zalogowania się do panelu KSeF i 2 "Komputerowe dla integracji oprogramowań" przez moduł MCU (Moduł Certyfikatów i Uprawnień), które to korzystanie z MCU opisane zostało w niniejszej instrukcji w części II materiału.
W przypadku standardowych dla człowieka do zalogowania w panelu KSeF:
a) profil zaufany - czyli bezpłatny, publiczny środek identyfikacji elektronicznej, wydawany przez państwo polskie.
Taki profil służy do potwierdzania tożsamości obywatela w usługach online administracji publicznej – w tym w serwisach Ministerstwa Finansów, takich jak KSeF, e-Urząd Skarbowy czy CEIDG lub
b) podpis kwalifikowany - czyli płatny rodzaj elektronicznego podpisu, który ma moc prawną równą podpisowi własnoręcznemu. Wydawany jest przez certyfikowane centra certyfikacji i jest zabezpieczony kartą kryptograficzną lub tokenem USB, lub
c) odcisk palca certyfikatu kwalifikowanego - czyli unikalnego, technicznego identyfikatora kwalifikowanego podpisu elektronicznego lub pieczęci elektronicznej. Taki odcisk można porównać do cyfrowego DNA certyfikatu — jest niepowtarzalny i generowany automatycznie w momencie tworzenia certyfikatu przez centrum certyfikacji. Ten odcisk to ciąg znaków (liter i cyfr), najczęściej 40-znakowy, będący skrótem kryptograficznym (tzw. SHA-1 hash) certyfikatu. System KSeF wykorzystuje odcisk palca certyfikatu, aby zidentyfikować konkretny podpis lub pieczęć kwalifikowaną, kiedy nie da się jednoznacznie przypisać ich do osoby lub podmiotu na podstawie danych osobowych (np. NIP, PESEL).
W przypadku "komputerowych integracji oprogramowań" przez moduł MCU.
d) Token KseF - który przez przypisanie do podatnika lub innego podmiotu umożliwia uwierzytelnienie w systemie KSeF i korzystanie z jego funkcji bez konieczności logowania za każdym razem przez profil zaufany lub podpis elektroniczny, niniejsza metoda jest możliwa do stosowania do 31 grudnia 2026r.
e) Certyfikat KseF - to specjalny rodzaj elektronicznego klucza dostępu wydawanego bezpośrednio w systemie KSeF. Służy do tego, aby aplikacje lub programy księgowe mogły uwierzytelniać się w KSeF i wykonywać operacje (np. wystawiać faktury, pobierać dokumenty) bez logowania się profilem zaufanym lub użyciu innych metod.
Tak też w przypadku:
a) jednoosobowych działalności gospodarczych możemy się zalogować w KSeF "od tak" po prostu,
b) osób prawnych przed logowaniem czy to do aplikacji KSeF czy Modułu MCU musimy nadać uprawnienia przez ZAW-FA dla pierwszej konkretnej logującej się osoby.
3) Czym jest Moduł Certyfikatów i Uprawnień (MCU)?
MCU to część KSeF, w której zarządza się dostępem do systemu, czyli tym, kto może wystawiać lub pobierać e-faktury przy użyciu certyfikatów oraz jak system ma rozpoznawać użytkownika lub integrację z jakimś systemem księgowym czy fakturowym. W MCU decydujemy, o tym samym zatem o czym w zwykłej aplikacji KSeF, czyli kto w Twojej firmie ma dostęp do KSeF i co dokładnie może w nim robić (czy wystawiać faktury i pobierać dokumenty, czy przeglądać historię), ale patrząc już z perspektywy Użytkownika aplikacji zintegrowanej z KSeF, dlatego, że to z tej aplikacji będziemy wysyłać do KSeF dane lub pobierać z niego.
W niniejszym module generujemy certyfikaty, które służą autoryzacji. MCU przydaje się zatem, gdy chcemy zintegrować KSeF z zewnętrznym systemem. Z MCU certyfikaty mogą generować wszyscy, którzy w tym module otrzymali uprawnienia.
4) Do czego przydaje się certyfikat KSeF w firmie?
Certyfikaty są szczególnie przydatne, gdy chcemy, żeby KSeF działał automatycznie czyli najczęściej, gdy wykorzystujemy integrację wysyłającą faktury bez ręcznego logowania człowieka do aplikacji KSeF znajdującej się na stronie Ministerstwa. W takim przypadku certyfikaty działają jak „klucze” przypisane do konkretnych procesów.
5) Czym różni się certyfikat KSeF od uprawnienia?
Certyfikat mówi “kim jesteś”, a uprawnienie mówi “co wolno Ci zrobić”. Sam certyfikat jest narzędziem uwierzytelnienia (czyli sposobem, żeby system bezpiecznie rozpoznał Użytkownika). Natomiast to, czy po zalogowaniu możemy wystawić fakturę, pobrać koszty albo zarządzać innymi użytkownikami, wynika z nadanych uprawnień. W MCU te dwa tematy spotykają się w jednym miejscu, możesz zarówno zarządzać uprawnieniami, jak i obsłużyć certyfikaty, a certyfikaty wyróżniamy dwa:
a) do uwierzytelnienia w systemie KSeF oraz
b) do wysyłki faktur w trybie offline.
6) Kiedy będziemy korzystać z Certyfikatów?
To jedno z najważniejszych pytań praktycznych dotyczących KSeF, bo certyfikat w systemie działa jak bezpieczny klucz, który pozwala programowi księgowemu komunikować się z bazą Ministerstwa Finansów. Z certyfikatu korzystamy zawsze wtedy, gdy to osoba fizyczna za pośrednictwem systemu księgowego lub fakturowego ma wykonywać czynności w KSeF.
Oznacza to, że certyfikaty będą potrzebne przede wszystkim wtedy, gdy chcemy:
a) Wysyłać faktury sprzedażowe do KSeF automatycznie,
b) Pobierać z KSeF faktury zakupowe wprost do systemu,
c) Weryfikować statusy dokumentów (czy faktura została przyjęta, odrzucona, czy ma nadany numer KSeF),
d) Zapewnić ciągłość działania aplikacji, nawet gdy użytkownik nie jest zalogowany „osobiście”.
Korzystać z Certyfikatów będziemy zatem wtedy, gdy będziemy chcieli zrobić coś w sposób automatyczny bez manualnego logowania się do KSeF, czy to w środowisku testowym, czy przedprodukcyjnym (demo), czy produkcyjnym.
7) W jakich trybach można wysyłać faktury?
Wysyłać faktury do KSeF można w dwóch trybach:
a) online (czyli w czasie rzeczywistym), gdy faktura jest wysyłana i natychmiast otrzymuje odpowiedź z KSeF o „przyjęciu”, „odrzuceniu” lub ewentualnym komunikacie błędu;
b) offline (czyli po jakimś czasie) - tryb wykorzystywany głównie w sytuacjach awaryjnych, gdy nie ma dostępu do internetu, KSeF ma problemy techniczne lub wysyłamy dokumenty (faktury) pod koniec dnia lub następnego dnia. Faktura powstaje po stronie użytkownika teraz, a wysłanie jej do KSeF następuje później.
W obu trybach certyfikat pełni kluczową rolę, ponieważ:
a) umożliwia wygenerowanie żądania do KSeF, czyli formalnej prośby o przyjęcie faktury,
b) pozwala systemowi pobrać odpowiedź, np. numer KSeF lub informację o błędzie,
c) zabezpiecza komunikację, aby tylko zautoryzowane osoby posiadającego klucze mogły przesyłać dokumenty do KSeF.
Bez certyfikatu system po prostu nie będzie uprawniony do komunikacji z KSeF, a użytkownik zostaje zmuszony do działań „ręcznych”.
II. Logowanie w Module Certyfikatów i Uprawnień (MCU) KSeF
1) Moduł Certyfikatów i Uprawnień
Na stronę Modułu Certyfikatów i Uprawnień możemy dostać się przez stronę MCU KSeF Ministerstwa pod warunkiem posiadania Uwierzytelnienia (czyli w przypadku spółki wpisania przez Urząd Skarbowy ZAW-FA) i posiadania możliwości zalogowania się do KSeF przykładowo profilem zaufanym.
2) Logowanie do MCU
Gdy jesteśmy już po etapie pierwszego zalogowaniu w standardowej aplikacji KSeF i konfiguracji KSeF, możemy przejść do zalogowania w Module Certyfikatów i Uprawnień. W tym celu wybieramy "Moduł Certyfikatów i Uprawnień - przejdź do aplikacji".
Zostaniemy przeniesieni do sposobu logowania. Zalogować można się:
a) Profilem zaufanym,
b) Certyfikatem kwalifikowany lub,
c) Odcisk palca certyfikatu kwalifikowanego.
Na dzisiejszym etapie wybieramy wariant a) "Zaloguj się profilem zaufanym", jest to bowiem najłatwiejszy sposób logowania do Modułu Certyfikatów i Uprawnień KSeF.
Po wybraniu logowania profilem zaufanym, ukaże się ekran wprowadzania danych logowania. W tym przypadku w celu uwierzytelnienia konta podatnika należy wybrać w polu identyfikator "NIP firmy" po czym uzupełnić właściwy - prawdziwy Numer Identyfikacji Podatkowej (NIP) spółki, do której nadano nam dostęp.
Jeżeli będzie to konto jednoosobowej działalności gospodarczej oczywiście wpisujemy tutaj NIP jdg.
Po wprowadzeniu danych zostaniemy przeniesieni do "Żądania uwierzytelnienia do systemu KSeF", w którym wybieramy "Podpisz".
Po kliknięciu "Podpisz" zostaniemy przeniesieni do strony Ministerstwa, w której musimy wybrać jaką metodą chcemy się zautoryzować tudzież podpisać dokument żadania uwierzytelnienia, najprościej jest to zrobić przez profil zaufany i bankowość elekrtroniczną.
Po wyborze profilu zaufanego zostaniemy przeniesieni najpierw do logowania za pośrednictwem emaila (jeżeli rejestrowaliśmy profil zaufany bez banku) albo banku, w której to części wybieramy konkretną instytucję finansową. Tutaj logujemy się na profil zaufany za pośrednictwem banku i postępujemy zgodnie z instrukcjami instytucji finansowej dla logowania do profilu zaufanego.
Następnie, po zalogowaniu na profil zaufany, aby złożyć podpis pod żądaniem autoryzacyjnym, należy wybrać "Przejdź na stronę banku" po czym ponownie postępować zgodnie z instrukcjami z instytucji finansowej do podpisu (czyli po zalogowaniu w banku podać kod SMS lub przeklikać autoryzację w aplikacji mobilnej).
Po złożeniu takiego podpisu i "przeklikaniu" tego etapu pojawi się komunikat mówiący o tym, że trwa uwierzytelnienie.
Po poprawnym przetworzeniu danych pojawi się interfejs MCU (Modułu Uprawnień i Certyfikatów) Krajowego systemu eFaktur.
W przypadku nieprawidłowego przetworzenia danych pojawi się komunikat najczęściej "Wystąpił nieoczekiwany błąd".
W takim wypadku najlepiej jest spróbować zalogować się ponownie (czasami działa) lub skontaktować ze wsparciem KSeF.
III. Generowanie Certyfikatu w Module Certyfikatów i Uprawnień (MCU) KSeF
1) Interfejs MCU
Interfejs Modułu Certyfikatów i Uprawnień Krajowego Systemu eFaktur jest podobny do interfejsu KSeF. Będzie on jednak praktycznie pusty posiadając zaledwie trzy zakładki:
a) Uprawnienia - czyli miejsca, w którym możemy komuś nadać odpowiednie uprawnienia i dalej ten ktoś uprawniony, będzie mógł wygenerować swój certyfikat odpowiadający zakresowi swoich uprawnień,
b) Tokeny - w którym można wygenerować token uwierzytelniający, taki token jednak jest ograniczony nie tylko czasowo do końca 2026r. ale również służy uwierzytelnieniu wyłącznie faktur wystawianych w trybie online,
c) Certyfikaty - czyli panelu, który będzie tutaj przedstawiony, certyfikaty służą obsłudze zarówno faktur online (czyli wysyłanym do KSeF w czasie rzeczywistym) jak i offline (czyli po jakimś czasie).
W niniejszym materiale skupiamy się na Certyfikatach ponieważ ważność tokenów jest ograniczona wyłącznie do końca roku 2026, gdy ważność Certyfikatu wynosi 2 lata.
2) Generowanie klucza i złożenie wniosku o wydanie certyfikatów
W celu zintegrowania KSeF z Fakturomanią niezbędne będą dwa certyfikaty:
1. Służący uwierzytelnieniu,
2. Służący podpisowi linku (czyli dla faktur w trybie offline).
Każdy z tych certyfikatów dla przeprowadzenia integracji będzie składał się z trzech plików i konieczne będzie ich odpowiednie zapisanie z konkretnymi "Końcówkami" jak:
a) .key - generowany podczas korzystania z MCU Ministerstwa,
b) .crt - generowany podczas korzystania z MCU Ministerstwa,
c) .txt - przygotowywany samodzielnie przykładowo w notatniku.
Łącznie zatem będziemy musli mieć 6 plików (po 3 na każdy certyfikat), które następnie zzipujemy. Dla prawidłowej konfiguracji musimy zatem posiadać program pozwalający na utworzenie ZIP jak przykładowo (7-Zip).
Przed przystąpieniem do procesu (oprócz posiadania programu tworzącego ZIP) należy utworzyć folder, przykładowo na pulpicie albo w sekcji "Dokumenty" naszego komputera. Niniejszy folder powinien nazywać się KSEF_MCU_CERTYFIKATY
Gdy już mamy taki folder oraz programik, to możemy przystąpić do procedury generowania certyfikatów, przy której niestety musimy być bardzo uważni.
UWAGA! Wszystkie nazwy plików lub folderów w niniejszym etapie wpisujemy DUŻYMI LITERAMI!
W celu wygenerowania takich kluczy, po zalogowaniu w MCU KSeF w lewym menu rozwijamy "Certyfikaty" po czym wybieramy "Wnioskuj o certyfikat".
1. Certyfikat służący uwierzytelnieniu
Podczas niniejszej procedury system Ministerstwa wygeneruje nam dwa pliki.
Pierwszy po wybraniu "Generuj" na etapie nadawania nazwy i hasła certyfikatu (wyskoczy nam okno zapisania pliku po wybraniu Generuj).
Drugi po wysłaniu wniosku o wydanie certyfikatu.
a) Pierwszy plik dla uwierzytelnienia - nazwa certyfikatu oraz hasło
W tym miejscu będziemy nadawać nazwę pierwszego certyfikatu oraz hasło.
Pierwszym z generowanych certyfikatów służy uwierzytelnieniu w KSeF, tak aby Użytkownik Fakturomanii mógł połączyć się z KSeF przez API. Nazwa certyfikatu musi zostać określona na AUTH_KSEF, nie jest dopuszczalna inna nazwa klucza. Musi ona być napisana dużymi literami.
Po wprowadzeniu danych wybieramy Generuj.
UWAGA! Niniejsza opcja spowoduje, że pokaże się okno zapisywania pliku o nazwie AUTH_KSEF dużymi literami w formacie .key
Niniejszy plik zapisujemy we wcześniej stworzonym folderze KSEF_MCU_CERTYFIKATY
Jeżeli pominiemy ten krok i nie zapiszemy pliku, procedurę będziemy musieli powtórzyć całkowicie od nowa, nie będzie można bowiem "wrócić" do tego generowanego pliku.
b) Drugi plik dla uwierzytelnienia - przeznaczenie certyfikatu oraz data
W następnym etapie określamy do czego Certyfikat służy oraz od kiedy jest ważny.
W pozycji Przeznaczenie certyfikatu wybieramy "Uwierzytelnienie w systemie KSeF",
W pozycji "Certyfikat ważny od" wybieramy aktualną datę lub przyszłą (wcześniejszej nie można wybrać).
Wybieramy Wyślij wniosek o wydanie certyfikatu.
Po wybraniu przycisku zostaniemy przeniesieni do następnej strony, w której pojawi się informacja "W realizacji". Tutaj jeżeli nie pojawi się automatycznie status zakończenia przetwarzania wybieramy "Odśwież".
W przypadku pozytywnego przetworzenia danych zobaczymy komunikat o pomyślnym zakończeniu procesu.
Po tych czynnościach powinniśmy mieć możliwość pobrania następnego pliku certyfikatu uwierzytelniającego w KSeF. Zapisujemy go w folderze KSEF_MCU_CERTYFIKATY.
Niniejszy plik jest w formacie .crt
Gdy zapisaliśmy plik, mamy już 2 części certyfikatu. Obecnie musimy utworzyć ostatni plik, ale już ręcznie i nadać mu końcówkę .txt chyba, że taki format jest automatyczny (przykładowo jak tworzymy dokument tekstowy).
Polega to na tym, że w przypadku korzystania z windowsa we wcześniej utworzonym folderze KSEF_MCU_CERTYFIKATY wybieramy lewy przycisk myszy > nowy > dokument tekstowy.
Niniejszemu dokumentowi nadajemy nazwę AUTH_KSEF - czyli dużymi literami.
W niniejszym pliku wprowadzamy wyłącznie hasło wprowadzone podczas generowania AUTH_KSEF i żadnego innego dodatkowego znaku.
2. Certyfikat służący wysyłce faktur w trybie offline
Podobnie jak w przypadku pierwszego z certyfikatów podczas niniejszej procedury system Ministerstwa wygeneruje nam dwa pliki.
Pierwszy po wybraniu "Generuj" na etapie nadawania nazwy i hasła certyfikatu.
Drugi po wysłaniu wniosku o wydanie certyfikatu.
Podobnie jak w pierwszym kroku, będziemy i tutaj posługiwali się utworzonym wcześniej folderem KSEF_MCU_CERTYFIKATY
a) Nazwa certyfikatu oraz hasło
W tym miejscu będziemy nadawać nazwę pierwszego certyfikatu oraz hasło.
Pierwszym z generowanych certyfikatów będzie służący uwierzytelnieniu w KSeF, tak aby Użytkownik Fakturomanii mógł połączyć się z KSeF przez API. Nazwa certyfikatu musi zostać określona na OFFLINE_KSEF, nie jest dopuszczalna inna nazwa klucza. Musi ona być napisana dużymi literami.
Po wprowadzeniu danych wybieramy Generuj.
UWAGA! Niniejsza opcja spowoduje, że pokaże się okno zapisywania pliku o nazwie OFFLINE_KSEF dużymi literami w formacie .key
Niniejszy plik zapisujemy we wcześniej stworzonym folderze KSEF_MCU_CERTYFIKATY
W folderze będzie już istniał wcześniej pobrany z pkt. 1 plik o nazwie AUTH_KSEF.key
Jeżeli pominiemy ten krok i nie zapiszemy pliku, procedurę będziemy musieli powtórzyć całkowicie od nowa, nie będzie można bowiem "wrócić" do tego generowanego pliku.
b) Przeznaczenie certyfikatu oraz data
W następnym etapie określamy do czego Certyfikat służy oraz od kiedy jest ważny.
W pozycji Przeznaczenie certyfikatu wybieramy "Podpis linku do weryfikacji wystawcy".
W pozycji "Certyfikat ważny od" wybieramy aktualną datę lub przyszłą (wcześniejszej nie można wybrać).
Wybieramy Wyślij wniosek o wydanie certyfikatu.
Po wybraniu przycisku zostaniemy przeniesieni do następnej strony, w której pojawi się informacja "W realizacji". Tutaj jeżeli nie pojawi się automatycznie status zakończenia przetwarzania wybieramy "Odśwież" po czym pobieramy certyfikat.
Po tych czynnościach powinniśmy mieć możliwość pobrania następnego pliku certyfikatu dla wysyłki faktur offline w KSeF. Zapisujemy go w folderze KSEF_MCU_CERTYFIKATY.
Niniejszy plik jest nazwany dużymi literami OFFLINE_KSEF w formacie .crt
Gdy zapisaliśmy plik, mamy już 2 części certyfikatu offline, natomiast łącznie w folderze będzie 5 plików.
Musimy więc utworzyć ostatni 6 plik, ale już ręcznie i nadać mu końcówkę .txt chyba, że taki format jest automatyczny (przykładowo jak tworzymy dokument tekstowy).
Dokonujemy tego w identyczny sposób jak wcześniej, czyli w przypadku korzystania z windowsa we wcześniej utworzonym folderze KSEF_MCU_CERTYFIKATY wybieramy lewy przycisk myszy > nowy > dokument tekstowy.
Niniejszemu dokumentowi nadajemy nazwę dużymi literami OFFLINE_KSEF
W niniejszym pliku wprowadzamy wyłącznie hasło wprowadzone podczas generowania OFFLINE_KSEF i żadnego innego dodatkowego znaku.
Teraz gdy mamy komplet plików przystępujemy do zzipowania konkretnego folderu o nazwie KSEF_MCU_CERTYFIKATY
W celu jego zzipowania musimy posiadać bezpłatny program przykładowo 7-Zip, który bardzo prosto możemy pobrać z sieci wpisując w wyszukiwarce niniejsze hasło tj. 7-Zip. Link zamieściliśmy równiez na początku pkt. III instrukcji.
Następnie wybieramy prawym przyciskiem myszy na folder KSEF_MCU_CERTYFIKATY > 7-Zip (albo inny program) > Dodaj do KSEF_MCU_CERTYFIKATY.zip.
Jeżeli nie widzimy takiej funkcji, najprawdopdobniej musimy skorzystać z Pokaż więcej opcji co spowoduje rozwinięcie się paska.
Tak zzipowany folder będziemy załączać w sekcji KSeF po zalogowaniu w Systemie, zgodnie z instrukcją omawiającą integrację Fakturomanii z KSeF.