Token KSeF - do czego służy, czy jest bezpieczny i co po nim
Token KSeF to ciąg znaków, który zastępuje logowanie. Zamiast uwierzytelniać się Profilem Zaufanym albo podpisem kwalifikowanym przy każdym połączeniu, generujemy go raz i wklejamy do programu, który ma się łączyć z systemem.
Wygodne. I dlatego warto wiedzieć, co się tak naprawdę komuś oddaje, wysyłając ten ciąg znaków.
Token a certyfikat – to nie to samo
Ministerstwo Finansów opisuje różnicę jednym zdaniem: token zawiera w sobie uprawnienia podatnika, deklarowane w momencie jego generowania, natomiast certyfikat potwierdza wyłącznie tożsamość – podobnie jak podpis kwalifikowany. Uprawnienia przy certyfikacie sprawdzane są osobno, po stronie systemu.
Z tego wynika rzecz najważniejsza dla bezpieczeństwa: token nie jest z definicji „tylko do odczytu". Jeżeli wygenerujemy go z uprawnieniem do wystawiania faktur, każdy, kto go ma, może wystawiać faktury w naszym imieniu.
Praktyczna zasada jest jedna: do monitoringu faktur generujemy token wyłącznie z uprawnieniem do przeglądania. Nigdy z uprawnieniem do wystawiania. Jeżeli program monitorujący prosi o coś więcej, to jest pytanie, po co.
Dwa typy certyfikatów
Przy okazji warto to rozróżnić, bo mylenie typów jest jednym z częstszych źródeł błędów autoryzacji:
- certyfikat typu 1 – do uwierzytelniania się w systemie,
- certyfikat typu 2 – wymagany przy wystawianiu faktur w trybach szczególnych offline. Służy do opatrzenia faktury przekazywanej nabywcy poza KSeF kodem QR, który pozwala zweryfikować tożsamość wystawcy.
Certyfikat KSeF jest ważny nie dłużej niż 2 lata od daty wydania albo od wskazanej przez podatnika daty początkowej.
Czego token nie umożliwia
- nie da się nim usunąć ani zmienić faktury, która jest już w KSeF – takiej operacji w systemie nie ma,
- nie działa poza swoim NIP-em – token jednej firmy nie otworzy konta drugiej,
- nie działa między środowiskami. Token ze środowiska testowego nie zadziała na produkcji i odwrotnie.
Gdzie się go generuje
W Aplikacji Podatnika KSeF na ksef.podatki.gov.pl, po uwierzytelnieniu się Profilem Zaufanym, podpisem kwalifikowanym albo pieczęcią. Token generuje się w kontekście konkretnej firmy i z konkretnym zakresem uprawnień – do monitoringu wybieramy wyłącznie przeglądanie.
Wygenerowany ciąg trafia do programu i tam testujemy połączenie. Najczęstszy błąd na tym etapie jest banalny: niepełne skopiowanie ciągu albo doklejona spacja na końcu. Skutek to komunikat o braku autoryzacji i godzina szukania problemu w złym miejscu.
Termin, który zmienia wszystko
Token jest rozwiązaniem przejściowym i ma datę ważności zapisaną w harmonogramie Ministerstwa Finansów:
- 1 lutego 2026 – start KSeF 2.0, tokeny i certyfikaty działają równolegle. Tokeny wygenerowane w KSeF 1.0 straciły ważność i trzeba było wygenerować nowe,
- 31 grudnia 2026 – ostatni dzień działania tokenów,
- 1 stycznia 2027 – jedyną metodą uwierzytelnienia zostaje certyfikat KSeF.
Praktycznie oznacza to, że każda integracja z KSeF – program księgowy, własny skrypt, program monitorujący – musi do końca roku przejść na certyfikaty. Firma z jednym NIP-em załatwi to szybko. Biuro rachunkowe z pięćdziesięcioma klientami ma przed sobą projekt.
Co zrobić teraz
- Wypisać wszystkie miejsca, w których token jest obecnie używany. Zwykle jest ich więcej, niż się wydaje – program księgowy, jakiś skrypt, coś na serwerze.
- Sprawdzić u dostawcy każdego z tych programów, czy obsługuje już certyfikaty KSeF.
- Przejść na certyfikat przed grudniem, w spokojnym tygodniu, kiedy ewentualna awaria nie blokuje niczego pilnego.
- Skasować tokeny, które przestały być potrzebne. Nieużywany token z szerokimi uprawnieniami leżący w mailu to niepotrzebne ryzyko.
Jeżeli szukasz programu, który pobiera faktury z KSeF i trzyma dane oraz dane uwierzytelniające wyłącznie na Twoim komputerze, zamiast wysyłać je na cudzy serwer, taki właśnie jest KsefMonitor.