W skrócie:
- Certyfikat KSeF to wydawane przez system poświadczenie elektroniczne do uwierzytelniania w KSeF — w API zastąpił tokeny z wersji 1.0
- Bez certyfikatu nie wystawisz faktury w trybie offline24: kody QR (w tym KOD II potwierdzający wystawcę) generuje się w oparciu o certyfikat
- Wnioski o certyfikaty można składać od 1 listopada 2025 r. — po uwierzytelnieniu w systemie (profil zaufany, podpis, pieczęć); pobrany certyfikat przechowujesz we własnej infrastrukturze
- Dobra praktyka: minimum dwa certyfikaty (produkcyjny dla integracji + zapasowy/offline), rejestr ważności i procedura unieważniania przy zmianach kadrowych
Certyfikat KSeF to elektroniczne poświadczenie wydawane przez sam system, którym firma (lub uprawniona osoba) uwierzytelnia się w KSeF — przede wszystkim w integracjach API oraz przy wystawianiu faktur w trybie offline24, gdzie certyfikat jest niezbędny do wygenerowania kodów QR. W KSeF 2.0 certyfikaty zastąpiły tokeny autoryzacyjne znane z pierwszej wersji. Wnioski można składać od 1 listopada 2025 r. i jeśli Twoja firma jeszcze certyfikatu nie ma — to zaległość do nadrobienia w tym tygodniu, bo dzień awarii internetu to najgorszy moment na odkrycie braku.
Do czego konkretnie służy certyfikat
- Uwierzytelnianie API — programy do fakturowania i systemy ERP łączą się z KSeF 2.0 w oparciu o certyfikat; to on identyfikuje firmę i pozwala otwierać sesje bez interakcji człowieka.
- Tryb offline24 — faktura wystawiona poza systemem musi nosić dwa kody QR: KOD I (weryfikacyjny, prowadzący do faktury po jej dosłaniu) i KOD II, generowany z użyciem certyfikatu i potwierdzający tożsamość wystawcy. Bez certyfikatu offline24 jest niedostępny.
- Uwierzytelnienie interaktywne — certyfikatem można też logować się do systemu, co bywa wygodne dla osób bez profilu zaufanego działających w imieniu firmy.
Jak pobrać certyfikat KSeF krok po kroku
- Uwierzytelnij się w KSeF (Aplikacja Podatnika 2.0) profilem zaufanym, podpisem kwalifikowanym albo pieczęcią — w kontekście NIP firmy, z uprawnieniem pozwalającym zarządzać certyfikatami.
- Przejdź do sekcji certyfikatów i złóż wniosek: wskaż nazwę (np. „Integracja Mizzox — produkcja”), typ użycia i okres ważności.
- Wygeneruj parę kluczy zgodnie z instrukcją (klucz prywatny powstaje po Twojej stronie i nigdy nie opuszcza Twojej infrastruktury) i prześlij żądanie.
- Pobierz wydany certyfikat i zainstaluj go tam, gdzie będzie używany: w programie do fakturowania, module ERP lub bezpiecznym magazynie kluczy.
- Zanotuj datę ważności w firmowym rejestrze — wygasły certyfikat to zatrzymane fakturowanie API i brak offline24.
| Cecha | Token (KSeF 1.0) | Certyfikat KSeF (2.0) |
|---|---|---|
| Status | Wygaszany | Standard uwierzytelniania |
| Offline24 / kody QR | Brak wsparcia | Wymagany do KODU II |
| Liczba na firmę | Ograniczona praktyka | Wiele certyfikatów o różnych rolach |
| Unieważnienie | Kasowanie tokenu | Rejestr, unieważnianie selektywne |
| Bezpieczeństwo | Sekret współdzielony | Klucz prywatny po stronie firmy |
Mizzox zarządza certyfikatem i połączeniem z KSeF — Ciebie zostawia przy fakturach.
Bez karty • Plan darmowy na zawsze • 16 500+ firm
Ile certyfikatów potrzebuje firma
Minimalny rozsądny zestaw to dwa: produkcyjny dla integracji fakturującej oraz zapasowy — przechowywany oddzielnie — na wypadek kompromitacji lub awarii pierwszego i na potrzeby offline24 w lokalizacjach terenowych. Większe organizacje wydają certyfikaty per system (fakturowanie, ERP, moduł windykacji) i per oddział: selektywne unieważnienie nie zatrzymuje wtedy całej firmy. Antywzorzec: jeden certyfikat kopiowany po laptopach handlowców — wyciek z jednego urządzenia oznacza wymianę wszędzie.
Bezpieczeństwo i cykl życia
Klucz prywatny trzymaj w magazynie kluczy systemu operacyjnego, HSM lub zaszyfrowanym sejfie haseł — nigdy w repozytorium kodu ani na dysku sieciowym „dla wygody”. Ustal procedurę: kto wnioskuje, kto instaluje, kto unieważnia przy odejściu pracownika lub zmianie dostawcy oprogramowania; przegląd ważności wpisz do kalendarza na 30 dni przed wygaśnięciem. Po unieważnieniu certyfikatu wydaj nowy przed usunięciem starego z systemów — kolejność odwrotna zatrzymuje wysyłkę faktur w najmniej spodziewanym momencie.
Najczęstsze pytania
Czy certyfikat KSeF jest obowiązkowy?
Formalnie nie — do interaktywnego korzystania z KSeF wystarczy profil zaufany czy podpis. W praktyce jest niezbędny każdemu, kto fakturuje przez API lub chce mieć dostępny tryb offline24, czyli niemal każdej firmie działającej systemowo.
Czym różni się certyfikat KSeF od podpisu kwalifikowanego?
Podpis kwalifikowany kupujesz u komercyjnego dostawcy zaufania i służy szeroko (umowy, e-administracja). Certyfikat KSeF wydaje sam system, bezpłatnie, wyłącznie do uwierzytelniania w KSeF — nie podpiszesz nim umowy.
Co się stanie, gdy certyfikat wygaśnie?
Integracja przestaje otwierać sesje, a offline24 staje się niedostępny — fakturowanie systemowe staje. Dlatego rejestr ważności i odnowienie z wyprzedzeniem to element procedur, nie opcja.
Kto w firmie może pobrać certyfikat?
Osoba uwierzytelniona w kontekście NIP firmy z odpowiednim uprawnieniem do zarządzania certyfikatami — właściciel, administrator KSeF lub osoba przez nich upoważniona w systemie.