Token KSeF: co dalej i jak przejść na certyfikat
Co wiadomo o przyszłości tokenów KSeF, czego token nie potrafi już dziś (offline24, KOD II) i jak w kilka minut przejść na certyfikat KSeF.
Masz token KSeF wygenerowany w aplikacji MF i wklejony do programu do faktur? Działa, więc po co cokolwiek zmieniać. Ale wokół tokenów jest sporo niepewności. Poniżej: co wiadomo na pewno, czego token nie potrafi już dziś i jak przejść na certyfikat KSeF bez stresu.
Co wiadomo o przyszłości tokenów
MF zapowiadało wygaszenie tokenów z końcem 2026 r.; w czerwcu 2026 ruszyły konsultacje nad ich utrzymaniem. Zalecamy certyfikat.
Tyle da się powiedzieć uczciwie. Ani ustawa o VAT, ani dokumentacja techniczna KSeF nie podają w tej sprawie żadnej daty. Dlatego nie budowałbym na nim niczego na dłużej. Poniżej wyjaśniam, dlaczego nawet bez daty warto przejść na certyfikat już teraz.
Czym jest token KSeF
Token KSeF to sekret, którym program loguje się do KSeF w twoim imieniu. Według dokumentacji MF:
- generujesz go po jednorazowym logowaniu podpisem, np. Profilem Zaufanym,
- ma zestaw uprawnień ustalony przy tworzeniu, np. wystawianie i przeglądanie faktur,
- każda zmiana uprawnień wymaga nowego tokena,
- trzeba go trzymać jak hasło, w bezpiecznym miejscu.
Do samego wysyłania faktur token wystarcza. Problem leży gdzie indziej.
Czego token nie zrobi już dziś
Nie da ci certyfikatu offline. Wniosek o certyfikat KSeF można złożyć tylko po logowaniu podpisem. Logowanie tokenem nie pozwala na złożenie wniosku. A bez certyfikatu offline nie wygenerujesz drugiego kodu QR (KOD II).
Nie wystawisz poprawnie faktury offline. Ustawa wymaga, żeby faktura offline przekazana klientowi poza KSeF miała dwa kody: KOD I i KOD II. Do drugiego potrzebny jest certyfikat offline, który podatnik ma obowiązek pobrać z KSeF. Czyli: tylko z tokenem tryb offline24 jest dla ciebie niekompletny.
Nie odnowi się sam. Certyfikat da się odnowić ważnym certyfikatem KSeF. Token nie daje takiej ścieżki.
Wniosek: nawet jeśli tokeny zostaną z nami dłużej, certyfikat i tak jest ci potrzebny. Choćby po to, żeby wystawić fakturę, gdy KSeF leży.
Co zrobić: przejście na certyfikat w 4 krokach
- Zaloguj się podpisem. Dla JDG najprościej Profilem Zaufanym. Jako właściciel jesteś rozpoznawany po NIP-ie albo po PESEL-u powiązanym z NIP-em.
- Wystąp o dwa certyfikaty: uwierzytelniający (do logowania) i offline (do KODU II). Każdy certyfikat ma tylko jeden typ.
- Wgraj je do programu albo pozwól programowi zrobić to za ciebie.
- Usuń token z programu i unieważnij go, jeśli już go nie używasz. Jeden sekret mniej do pilnowania.
Pamiętaj o limitach. Osoba logująca się PESEL-em może mieć 6 aktywnych certyfikatów i złożyć 12 wniosków. Szczegóły i cała ścieżka krok po kroku są w tekście Certyfikat KSeF dla JDG.
Jak sprawdzić, czym łączy się twój program
Wiele osób nie wie, czy ich program do faktur używa tokena, czy certyfikatu. Trzy szybkie sygnały:
- Wklejałeś kiedyś długi ciąg znaków z aplikacji MF do ustawień programu. To był token.
- Podpisywałeś plik Profilem Zaufanym albo wgrywałeś plik .p12 z hasłem. To była droga certyfikatowa.
- Program nigdy nie pytał o nic z KSeF, a faktury mają numery KSeF. Wtedy połączenie skonfigurował ktoś za ciebie, np. biuro rachunkowe. Zapytaj, jak.
Bezpieczeństwo tokena
Token to sekret: kto go ma, ten loguje się do KSeF z uprawnieniami, które token dostał przy tworzeniu. Dlatego:
- nie wysyłaj go mailem ani komunikatorem,
- nadawaj mu tylko te uprawnienia, których program naprawdę potrzebuje,
- gdy zmieniasz program albo kończysz współpracę z biurem, unieważnij stary token.
Certyfikat ma podobne ryzyko, bo jego klucz prywatny też trzeba chronić. Ale certyfikat daje więcej: logowanie, KOD II i odnawianie bez ponownego podpisu.
Kiedy token jeszcze ma sens
Jako rozwiązanie awaryjne. Na przykład gdy chcesz wysłać pierwsze faktury dziś, a Profil Zaufany masz zablokowany do jutra. Albo gdy program, którego używasz, jeszcze nie obsługuje certyfikatów.
W każdym z tych przypadków traktuj token jako most, a nie drogę docelową.
Jeśli korzystasz z biura rachunkowego, zapytaj, czym biuro łączy się z KSeF w twoim imieniu. Biuro może działać na podstawie uprawnień, które mu nadasz, a nie na twoim tokenie. Wtedy po zmianie biura wystarczy odebrać uprawnienia, zamiast szukać, gdzie krąży twój sekret. Porządek w uprawnieniach to druga, często pomijana korzyść z przejścia na certyfikat.
Jak to zrobiłem w Wystaw
W kreatorze połączenia z KSeF token jest ostatnią opcją, oznaczoną jako awaryjna. Przy wyborze tokena Wystaw pokazuje ostrzeżenie: bez certyfikatu offline nie zadziała tryb offline24 ani KOD II. Domyślna droga to Profil Zaufany: podpisujesz jeden plik na gov.pl, a Wystaw sam wystawia oba certyfikaty i odnawia je, zanim wygasną.
Masz już połączenie tokenem? Rozłącz je i połącz się ponownie Profilem Zaufanym. Zajmuje to kilka minut.
Więcej o trybach offline przeczytasz w tekście Offline24 w KSeF.
Podsumowanie
- Przyszłość tokenów: MF zapowiadało wygaszenie tokenów z końcem 2026 r.; w czerwcu 2026 ruszyły konsultacje nad ich utrzymaniem. Zalecamy certyfikat.
- Token nie da ci certyfikatu offline, więc z samym tokenem faktura offline jest niekompletna.
- Przejście na certyfikat to kilka kroków, dla JDG najprościej Profilem Zaufanym.
- Token trzymaj tylko jako rozwiązanie awaryjne.
Źródła
- Dokumentacja KSeF 2.0 MF: tokeny-ksef.md („Wymagania wstępne”, zestaw uprawnień, poufność tokena), certyfikaty-KSeF.md („Wstęp” — typy certyfikatów; „2. Pobranie danych do wniosku” — brak wniosku po logowaniu tokenem), limity/limity.md (limity dla PESEL), uprawnienia.md (właściciel, powiązanie NIP–PESEL), kody-qr.md (KOD II).
- Ustawa o VAT, tekst jednolity (Dz.U. 2026 poz. 1263): art. 106nda ust. 6 i 7 (dwa kody, obowiązek pobrania certyfikatu).
- Przyszłość tokenów: zapowiedź MF i konsultacje z czerwca 2026 r. (komunikaty MF); brak daty wygaszenia w ustawie i w dokumentacji KSeF.
Najczęstsze pytania
Co wiadomo o przyszłości tokenów KSeF?
MF zapowiadało wygaszenie tokenów z końcem 2026 r.; w czerwcu 2026 ruszyły konsultacje nad ich utrzymaniem. Zalecamy certyfikat.
Czy tokenem wystawię fakturę offline?
Nie w pełni. Faktura offline przekazana poza KSeF musi mieć KOD II, a do niego potrzebny jest certyfikat KSeF typu offline. Po logowaniu tokenem nie złożysz wniosku o certyfikat.
Jak przejść z tokena na certyfikat?
Zaloguj się podpisem, np. Profilem Zaufanym, wystąp o certyfikat uwierzytelniający i offline, wgraj je do programu i usuń token. Wystaw robi to w jednym kreatorze.