KSeF: token czy certyfikat – różnice i zagrożenia

Wraz z obowiązkowym KSeF przedsiębiorcy coraz częściej słyszą o tokenach i certyfikatach. Choć bywają używane zamiennie, to dwa różne mechanizmy. Różnica nie jest tylko techniczna — chodzi o odpowiedzialność i ryzyko, zwłaszcza gdy dostęp do KSeF dostaje biuro rachunkowe, pracownik albo dostawca oprogramowania.

W skrócie:

• token potwierdza, że ktoś ma w danej chwili prawo wykonać określone operacje w KSeF,
• certyfikat KSeF potwierdza tożsamość osoby lub podmiotu, który go uzyskał — działania wykonane certyfikatem są przypisane właśnie jemu.

Czym jest token KSeF

Token to ciąg znaków generowany po zalogowaniu się do KSeF (np. Profilem Zaufanym, podpisem kwalifikowanym lub e-dowodem). Działa jak przepustka dla programu księgowego lub użytkownika.

• można nadać mu konkretny zakres uprawnień (np. tylko pobieranie faktur),
• można mieć wiele tokenów jednocześnie, np. osobny dla biura i osobny dla systemu sprzedaży,
• można go w każdej chwili unieważnić — dostęp znika natychmiast.

Ważne: w KSeF 2.0 tokeny są rozwiązaniem przejściowym. Można z nich korzystać do 31 grudnia 2026 r. Od 2027 r. uwierzytelnienie wymaga certyfikatu KSeF, kwalifikowanego podpisu lub pieczęci albo Profilu Zaufanego. Warto zaplanować zmianę z wyprzedzeniem, zwłaszcza tam, gdzie z KSeF łączy się automatycznie system ERP lub sklep.

Czym jest certyfikat KSeF

Certyfikat KSeF wydaje Ministerstwo Finansów w Module Certyfikatów i Uprawnień, na wniosek osoby, która się uwierzytelniła. Są dwa rodzaje certyfikatów:

• do uwierzytelniania w KSeF — zastępuje logowanie i docelowo tokeny w integracjach,
• do trybu offline — służy do oznaczania faktur kodem QR, gdy faktura jest wystawiana poza KSeF (np. przy awarii) i przesyłana później.

Certyfikat ma okres ważności, jest powiązany z tożsamością osoby lub podmiotu, który o niego wystąpił, i może zostać unieważniony. Jego unieważnienie oznacza jednak konieczność wygenerowania nowego i podmiany we wszystkich systemach, które z niego korzystały (ERP, program księgowy, integratory, automatyczne wysyłki).

Przekazanie tokena — jakie niesie ryzyko?

Osoba, która ma token, może wykonywać operacje w zakresie jego uprawnień: wysyłać lub pobierać faktury, przeglądać dokumenty. Ale:

• nie działa poza KSeF,
• przestaje działać po unieważnieniu,
• nowy token można wygenerować bez wpływu na inne systemy.

Przykład. Klient przekazuje biuru rachunkowemu token do pobierania faktur zakupowych. Gdy współpraca się kończy, unieważnia token i biuro od razu traci dostęp. Kontrola nad systemem wraca do właściciela firmy.

Przekazanie certyfikatu — realne zagrożenia

Przekazanie certyfikatu to zupełnie inna sytuacja. Przypomina oddanie w jednym ręku podpisu, pieczątki firmowej i dowodu osobistego. Osoba, która ma plik certyfikatu i hasło, może działać w KSeF tak, jakby była jego właścicielem:

• wystawiać faktury sprzedaży i korekty bez wiedzy przedsiębiorcy,
• pobierać faktury i poznawać kontrahentów, ceny i marże,
• w zakresie uprawnień właściciela — zarządzać dostępem innych osób.

Przykład. Przedsiębiorca przekazuje plik certyfikatu integratorowi „do konfiguracji systemu”. Integrator zachowuje kopię. Kilka miesięcy później w KSeF pojawiają się faktury, których firma nie wystawiała. Dla urzędu skarbowego są to dokumenty wystawione prawidłowym uwierzytelnieniem — pierwszym adresatem pytań i ewentualnego postępowania jest podatnik, a udowodnienie nadużycia bywa trudne i długotrwałe.

Przykład. Pracownik, który miał certyfikat firmy, odchodzi i zakłada konkurencyjną działalność. Jeżeli certyfikat nie zostanie unieważniony, nadal może pobierać faktury firmy. Z punktu widzenia KSeF to nie jest włamanie, tylko poprawne logowanie.

Jak ułożyć dostęp bezpiecznie

Token to narzędzie operacyjne. Certyfikat to tożsamość. Przekazanie tokena oznacza „pozwalam ci działać w systemie”. Przekazanie certyfikatu oznacza „możesz działać jako ja”.

Najbezpieczniejszy model:

1. Właściciel firmy (lub osoba uprawniona do reprezentacji) nadaje uprawnienia pracownikom i biuru rachunkowemu w KSeF.
2. Każda osoba korzysta z własnego uwierzytelnienia — własnego certyfikatu, podpisu lub Profilu Zaufanego.
3. Systemy księgowe łączą się z KSeF na podstawie uprawnień nadanych konkretnemu podmiotowi, a do końca 2026 r. mogą korzystać z tokenów o ograniczonym zakresie.
4. Certyfikat firmy nie jest kopiowany i nie jest przechowywany przez biuro rachunkowe ani informatyka.
5. Po odejściu pracownika lub zmianie biura uprawnienia i tokeny są odbierane tego samego dnia.

Z punktu widzenia bezpieczeństwa i odpowiedzialności podatkowej to jedna z najważniejszych decyzji organizacyjnych przy wdrożeniu KSeF. Jeśli nie masz pewności, kto dziś ma dostęp do KSeF w Twojej firmie — pomożemy to sprawdzić i uporządkować.