Certyfikat KSeF dla JDG (2026) — jak go wygenerować i do czego służy

Certyfikat KSeF to bezpłatny elektroniczny „klucz”, którym logujesz się do KSeF z programu do faktur (typ 1) i podpisujesz faktury wystawiane offline (typ 2). Od lutego 2026 r. generujesz go w Aplikacji Podatnika KSeF 2.0 — nie w Module Certyfikatów i Uprawnień, o którym wciąż piszą starsze poradniki. Poniżej: kiedy JDG go potrzebuje, jak go wygenerować, jak wgrać do programu i jak dać dostęp księgowej bez oddawania swojego certyfikatu.

Jeśli dopiero zaczynasz z KSeF, najpierw przejdź ogólną ścieżkę: KSeF — jak zacząć krok po kroku dla JDG. Ten tekst dotyczy wyłącznie certyfikatów i uprawnień.

Czym jest certyfikat KSeF i czy JDG go potrzebuje?

Certyfikat KSeF to jedna z metod uwierzytelnienia w systemie — obok profilu zaufanego, podpisu kwalifikowanego i pieczęci kwalifikowanej. Przydaje się do logowania programu do faktur zintegrowanego z KSeF (obok tokena i podpisu kwalifikowanego), a certyfikat typu 2 jest wymagany do faktur wystawianych w trybie offline.

Ministerstwo Finansów opisuje go wprost: certyfikat KSeF „stanowi jedną z metod uwierzytelnienia się w systemie”. Wydaje go Centrum Certyfikacji Ministerstwa Finansów, a zawiera Twoje dane identyfikacyjne — działa podobnie jak podpis kwalifikowany, tylko wyłącznie w KSeF.

Przypomnienie terminów: czynni podatnicy VAT, w tym JDG, wystawiają faktury w KSeF od 1 kwietnia 2026 r. Najmniejsze firmy (sprzedaż dokumentowana fakturami do 10 tys. zł miesięcznie) — od 1 stycznia 2027 r.

Co mówi ustawa o VAT?

• Art. 106nd ust. 2 ustawy o VAT — KSeF służy m.in. do nadawania, zmiany i odbierania uprawnień oraz do uwierzytelniania użytkowników.
• Art. 106nda ust. 7 — podatnik jest obowiązany pobrać z KSeF certyfikat potwierdzający tożsamość wystawcy, gdy wystawia fakturę offline i przekazuje ją nabywcy poza systemem.
• Art. 106nf ust. 3 — ten sam obowiązek stosuje się odpowiednio w czasie awarii KSeF.

Kiedy certyfikat nie jest potrzebny?

Do bezpłatnej Aplikacji Podatnika KSeF logujesz się profilem zaufanym lub podpisem kwalifikowanym. MF pisze wprost, że certyfikatem KSeF nie da się uwierzytelnić w Aplikacji Podatnika KSeF.

Jeśli więc wystawiasz faktury tylko w Aplikacji Podatnika — do samego wystawiania certyfikat typu 1 nie jest Ci potrzebny. Certyfikat typu 2 (offline) potrzebny jest wtedy, gdy Twój program do faktur obsługuje tryby offline i chcesz z nich korzystać.

Jakie są typy certyfikatu KSeF?

Są dwa typy: typ 1 do uwierzytelniania i typ 2 do faktur offline. Generuje się je osobno — jeden certyfikat nie obsłuży obu zastosowań.

Typ 1 — uwierzytelnianie (logowanie programu)

Certyfikat typu 1 służy do logowania się w KSeF, zarówno w sesji interaktywnej, jak i wsadowej. W praktyce: wgrywasz go do programu do faktur (np. Comarch ERP Optima), a program łączy się z KSeF w Twoim imieniu.

Program musi to obsługiwać — MF wymaga m.in. mechanizmu podpisu XAdES-BES do uwierzytelnienia w API KSeF.

Typ 2 — offline (offline24, niedostępność, awaria)

Certyfikat typu 2 jest wymagany do oznaczenia faktury kodem potwierdzającym tożsamość wystawcy, gdy wystawiasz ją w trybie offline: offline24, offline (niedostępność systemu) lub w trybie awarii KSeF.

Kod QR „CERTYFIKAT” na fakturze offline

Faktura offline przekazana nabywcy poza KSeF ma dwa kody QR:

• „OFFLINE” — daje dostęp do faktury w KSeF i pozwala zweryfikować jej dane,
• „CERTYFIKAT” — pozwala zweryfikować tożsamość wystawcy. Do jego wygenerowania potrzebny jest właśnie certyfikat typu 2.

W trybie offline24 fakturę przesyłasz do KSeF niezwłocznie, nie później niż w następnym dniu roboczym po jej wystawieniu (art. 106nda ust. 2 ustawy o VAT). Przy awarii KSeF termin wynosi 7 dni roboczych od jej zakończenia (art. 106nf ust. 4).

Jak odróżnić pliki? Każdy certyfikat ma w nazwie (atrybut CN) dopisek „uwierzytelnianie” albo „offline”.

Jak wygenerować certyfikat KSeF krok po kroku?

Logujesz się do Aplikacji Podatnika KSeF 2.0 profilem zaufanym lub podpisem kwalifikowanym, składasz wniosek o certyfikat, ustalasz hasło i pobierasz pliki .crt oraz .key.

Gdzie: Aplikacja Podatnika KSeF 2.0, nie MCU

Od listopada 2025 r. do końca stycznia 2026 r. certyfikaty generowało się w Module Certyfikatów i Uprawnień (MCU). Od lutego 2026 r. wniosek i pobranie są dostępne w Aplikacji Podatnika KSeF 2.0 oraz przez API KSeF 2.0 (czyli w programach komercyjnych, które mają tę funkcję). Uprawnienia nadane wcześniej w MCU zostały przeniesione do KSeF 2.0 — nie musisz ich nadawać ponownie.

Logowanie i wniosek

Żeby wystąpić o certyfikat, musisz najpierw uwierzytelnić się w KSeF — jako JDG najprościej profilem zaufanym albo podpisem kwalifikowanym. Certyfikat wydaje się osobie fizycznej identyfikowanej po NIP (tak jest przy jednoosobowej działalności).

Ważne: o certyfikat z danymi osoby fizycznej może wnioskować wyłącznie ta osoba — i tylko ona może go pobrać i się nim posługiwać. Nikt, także księgowa, nie wygeneruje go za Ciebie.

Pobranie plików i hasło

Po wniosku pobierasz dwa pliki: .crt (certyfikat) i .key (klucz prywatny), zabezpieczone hasłem, które ustalasz. Zapisz hasło w bezpiecznym miejscu — bez niego certyfikatu nie użyjesz. Typ 1 i typ 2 generujesz osobno, więc przy obu kompletach masz dwie pary plików.

MF ostrzega: „Jeśli ktoś będzie miał Twój certyfikat, może działać w Twoim imieniu — wystawiać faktury, odbierać dokumenty”. Traktuj pliki i hasło jak dane do bankowości elektronicznej.

Jak wgrać certyfikat do Comarch ERP Optima?

Na przykładzie programu, na którym pracujemy w biurze (Comarch ERP Optima w wersji 2026.1.1 i nowszych):

1. Start → Konfiguracja → Firma → Dane firmy → KSeF — włącz wymianę danych z KSeF.
2. Menu KSeF → Zmień sposób uwierzytelniania KSeF → Certyfikat KSeF — przez Wybór pliku wskaż .crt i .key z Aplikacji Podatnika KSeF i wpisz hasło. Opcja Zapamiętaj hasło zapisze je w profilu użytkownika Windows — bez niej program zapyta o hasło przy każdym połączeniu.
3. Certyfikat offline wgrywasz osobno: na liście faktur sprzedaży, ikoną zmiany certyfikatu offline — te same kroki: pliki .crt + .key i hasło.

Certyfikat przypisuje się do konkretnego operatora programu. Comarch zaleca nazwy certyfikatów bez spacji.

Jak długo ważny jest certyfikat KSeF i co z tokenami?

Certyfikat KSeF jest ważny najwyżej 2 lata. Tokeny, wbrew pierwotnym planom, mają zostać bezterminowo — ale działają inaczej niż certyfikaty.

Ważność do 2 lat

Certyfikat jest ważny nie dłużej niż 2 lata od daty wytworzenia albo od wskazanej przez Ciebie daty początkowej. Zmiana Twoich uprawnień w KSeF nie wpływa na jego ważność — a jeden certyfikat możesz wykorzystać do pracy w różnych kontekstach (np. jeśli masz uprawnienia w kilku firmach).

Tokeny KSeF zostają — czym różnią się od certyfikatu?

Tokeny miały działać tylko do końca 2026 r. Ministerstwo Finansów zapowiedziało jednak, że zostaną utrzymane bezterminowo, a rozporządzenie w sprawie korzystania z KSeF ma zostać w tym zakresie znowelizowane.

Różnica jest istotna:

• Token zawiera w sobie uprawnienia zadeklarowane w momencie jego generowania.
• Certyfikat jest wyłącznie środkiem uwierzytelnienia — jak podpis kwalifikowany. To, co możesz zrobić w systemie, wynika z uprawnień przypisanych do Twojego NIP lub PESEL, a nie z samego certyfikatu.

Tokenem nie zastąpisz też certyfikatu typu 2 — kod QR „CERTYFIKAT” na fakturze offline wymaga certyfikatu.

Kiedy unieważnić certyfikat?

Certyfikat unieważniasz m.in., gdy:

• zgubisz nośnik z kluczem prywatnym,
• klucz prywatny wyciekł lub mógł wyciec (np. incydent bezpieczeństwa),
• zmieniły się Twoje dane.

Od 1 lutego 2026 r. robisz to w Aplikacji Podatnika KSeF albo w programie, który ma tę funkcję przez API. Unieważnienie działa od razu i jest nieodwracalne — nie da się go cofnąć. Potem możesz złożyć wniosek o nowy certyfikat.

Jak dać biuru rachunkowemu dostęp do KSeF?

Nie przekazujesz księgowej swojego certyfikatu — nadajesz biuru uprawnienia w KSeF. Biuro loguje się własnymi danymi w kontekście Twojego NIP.

Uprawnienia zamiast przekazywania certyfikatu

Certyfikat z danymi osoby fizycznej może być używany wyłącznie przez tę osobę. Dostęp dla księgowej załatwia się inaczej: w KSeF możesz nadać dostęp pracownikom, biuru rachunkowemu lub współpracownikom. Uprawnienia obejmują m.in. wystawianie faktur, przeglądanie faktur i zarządzanie uprawnieniami.

Jak biuro rozdziela dostęp swoim księgowym

Biuro rachunkowe, któremu nadasz uprawnienie z prawem dalszego przekazywania, może wskazać swoich pracowników do pracy dla konkretnego klienta albo dla wszystkich klientów. Księgowi logują się wtedy w kontekście Twojego NIP — każdy swoim środkiem uwierzytelnienia.

Zmiana biura — odebranie uprawnień

Uprawnień właściciela nie można odebrać — jako właściciel JDG zawsze zachowujesz kontrolę nad swoim KSeF. Uprawnienia biura może odebrać osoba uprawniona do zarządzania uprawnieniami w Twoim kontekście, w tym Ty sam. Przy zmianie biura odbierasz dostęp poprzedniemu i nadajesz nowemu — więcej o całym procesie w tekście zmiana biura rachunkowego w trakcie roku.

Najczęstsze pytania o certyfikat KSeF

Wolisz, żeby ktoś to ustawił z Tobą?

Wojtas Podatki — biuro rachunkowe w Oświęcimiu. Konfiguracja KSeF — certyfikaty, uprawnienia dla biura, podpięcie programu — jest wliczona w każdy pakiet (JDG od 199 zł netto), bez dopłat. Napisz na WhatsApp — odpowiadamy w 2h. Cennik i wycena: /wycena.