Jak uzyskać certyfikat KSeF

Aby program do fakturowania mógł wysyłać faktury do KSeF w Twoim imieniu, musi mieć uprawnienie do działania w imieniu Twojej firmy. Obecnie służy do tego certyfikat KSeF. Generujesz go samodzielnie w oficjalnej aplikacji KSeF, a następnie wgrywasz do programu do fakturowania.

Ten poradnik opisuje kroki ogólnie. Oficjalna aplikacja zmienia się z czasem, więc ekrany, nazwy menu i opisy mogą wyglądać inaczej, niż tu napisano. Kieruj się tym, co pokazuje aplikacja, a w razie wątpliwości zajrzyj na strony pomocy na ksef.podatki.gov.pl.

Co tworzysz

Certyfikat KSeF to zestaw danych, który dowodzi, że to oprogramowanie może działać w imieniu danego podatnika. W praktyce otrzymujesz:

certyfikat (część publiczną);
klucz prywatny, zwykle w pliku;
hasło chroniące klucz.

Plik klucza razem z hasłem pozwalają komuś wysyłać faktury jako Ty. Traktuj je jak klucze do konta bankowego.

KSeF ma więcej niż jeden rodzaj certyfikatu. Do uwierzytelnienia, czyli aby program mógł logować się do KSeF oraz wysyłać i odbierać faktury, potrzebny jest certyfikat uwierzytelniający. Drugi rodzaj służy do sytuacji offline. Jeśli nie jesteś pewien, który jest który, aplikacja oznacza je nazwami.

Zanim zaczniesz

Przygotuj:

sposób logowania do oficjalnej Aplikacji Podatnika KSeF (zobacz następną sekcję);
swój NIP;
bezpieczne miejsce na pliki, np. menedżer haseł z załącznikami albo szyfrowany dysk;
około 15 do 30 minut.

Jeśli najpierw testujesz, środowisko testowe KSeF ma własną aplikację i własne certyfikaty. Test i produkcja są oddzielne, więc certyfikat z jednego nie działa w drugim.

Krok 1: zaloguj się do aplikacji KSeF

Otwórz oficjalną aplikację dla podatników ze stron KSeF w serwisie rządowym. Zanim cokolwiek wpiszesz, sprawdź, czy adres należy do domeny gov.pl. Istnieją fałszywe strony podszywające się pod logowanie do usług państwowych.

Sam wybierasz metodę uwierzytelnienia. Najczęstsze to:

Profil Zaufany, bezpłatne logowanie rządowe. Sprawdź na stronie rządowej, kto może go uzyskać i jak potwierdza się tożsamość.
Logowanie przez bank. Wiele polskich banków pozwala logować się do usług rządowych przez bankowość internetową.
e-dowód, czyli polski elektroniczny dowód osobisty, używany z czytnikiem lub aplikacją w telefonie.
Kwalifikowany podpis elektroniczny, płatny podpis od certyfikowanego dostawcy. Niektórzy mają go już na potrzeby firmy.

To, która metoda zadziała, zależy od Twoich dokumentów i banku. Jeśli nie masz jeszcze żadnej z nich, załatw to najpierw, bo może to zająć kilka dni. Księgowy może pomóc w wyborze.

Krok 2: wybierz firmę

Jeśli aplikacja pyta, w jakim charakterze lub dla jakiej firmy się logujesz, wybierz swoją działalność, identyfikowaną przez NIP. Właściciel JDG zwykle loguje się jako właściciel własnej firmy.

Krok 3: znajdź sekcję certyfikatów

W aplikacji poszukaj obszaru dotyczącego certyfikatów albo dostępu i uprawnień. Nazwy mogą się zmieniać, ale idea jest stała: istnieje miejsce na utworzenie nowego certyfikatu do uwierzytelniania.

Jeśli go nie widzisz, sprawdź, czy jesteś zalogowany jako właściwa osoba dla właściwej firmy i czy jesteś w dobrym środowisku (test lub produkcja).

Krok 4: wygeneruj certyfikat uwierzytelniający

Rozpocznij tworzenie nowego certyfikatu. Aplikacja poprosi o kilka danych, np. nazwę certyfikatu, żebyś później go rozpoznał, oraz hasło do klucza prywatnego.

Wskazówki:

Nadaj nazwę z nazwą programu i datą, np. “Fiskora 2026-11”.
Wybierz długie, unikalne hasło. Pomoże menedżer haseł.
Nie używaj hasła z innej usługi.

Po zakończeniu aplikacja pozwoli pobrać wynik. Pobierz go od razu i zapamiętaj, gdzie został zapisany. W zależności od aplikacji dostaniesz certyfikat i klucz jako jeden plik albo osobne pliki. Zachowaj wszystko, co otrzymasz.

Krok 5: bezpiecznie przechowaj plik i hasło

Ten krok jest ważniejszy niż pozostałe.

Trzymaj kopię pliku klucza w szyfrowanym miejscu.
Przechowuj hasło osobno od pliku, najlepiej w menedżerze haseł.
Nie wysyłaj pliku e-mailem do siebie ani innych i nie zostawiaj go we wspólnym folderze ani w historii czatu.
Usuń kopie z folderu Pobrane po zapisaniu i wgraniu pliku.
Sprawdź datę ważności certyfikatu i ustaw przypomnienie w kalendarzu.

Jeśli podejrzewasz, że plik i hasło wyciekły, unieważnij certyfikat w aplikacji KSeF i utwórz nowy. Nowy certyfikat możesz wystawić w każdej chwili.

Krok 6: wgraj go do programu do fakturowania

W Fiskorze otwierasz Ustawienia, a potem KSeF, i dodajesz plik certyfikatu z hasłem. Wcześniej Fiskora wymaga włączenia uwierzytelniania dwuskładnikowego aplikacją uwierzytelniającą, żeby samo skradzione hasło nie wystarczyło do połączenia lub zmiany dostępu do KSeF.

Fiskora przechowuje wgrany certyfikat w postaci zaszyfrowanej. Używa go wyłącznie do wysyłania i odbierania faktur w Twoim imieniu. Krok po kroku opisuje to strona pomocy o połączeniu certyfikatu KSeF.

Gdy coś nie działa

Logowanie się nie udaje. Sprawdź, czy używasz właściwej metody i czy Profil Zaufany lub bank działają. Spróbuj innej metody.
Nie widzisz sekcji certyfikatów. Ekran mógł zostać przemianowany. Szukaj słów “certyfikaty”, “dostęp” lub “uprawnienia”.
Program zgłasza nieprawidłowy certyfikat. Sprawdź, czy wygenerowałeś certyfikat uwierzytelniający, czy hasło jest dokładnie takie samo i czy zgadza się środowisko (test lub produkcja).
Certyfikat wygasł. Wygeneruj nowy i wgraj go ponownie.

A tokeny?

Wcześniej dostęp do KSeF często opierał się na tokenach. Tokeny mają zostać wycofane, a Fiskora nie używa ich dla klientów. Skonfiguruj podejście oparte na certyfikacie.

Dalsze kroki

Gdy certyfikat jest połączony, wyślij fakturę testową ze swojego konta i sprawdź, czy wraca UPO. Potem możesz dać księgowemu login tylko do odczytu.

Jeśli nie jesteś pewien, czego wymaga oficjalny proces w Twojej sytuacji, zapytaj księgowego albo infolinię KSeF.