Do logowania w KSeF masz cztery opcje: profil zaufany (bezpłatny, dla JDG i mObywatel), podpis kwalifikowany (płatny, dla właścicieli i zarządu), pieczęć kwalifikowana (rekomendowana dla spółek) i token (dla programów, nie dla ludzi). Sprawdź którą metodę wybrać dla swojej firmy i co robić gdy jedna z nich zawodzi.
Czym różnią się metody uwierzytelnienia w KSeF
KSeF wymaga weryfikacji tożsamości, żeby nikt nie mógł wystawiać ani pobierać faktur w Twoim imieniu bez Twojej wiedzy. Każda z czterech dostępnych metod uwierzytelniania ma inne cechy — różnią się kosztem, wygodą, zakresem zastosowania i poziomem zaufania prawnego.
Kluczowe rozróżnienie: profil zaufany i podpis kwalifikowany identyfikują osobę fizyczną. Pieczęć kwalifikowana identyfikuje podmiot prawny (firmę). Token nie służy do logowania osoby — służy do uwierzytelniania oprogramowania. Ta różnica ma praktyczne konsekwencje dla spółek i biur rachunkowych.
Profil zaufany — dla kogo i jak działa
Profil zaufany (PZ) to bezpłatna elektroniczna tożsamość wydawana przez rząd, dostępna dla każdego obywatela z polskim numerem PESEL. Można go założyć online (przez bankowość elektroniczną — bez wychodzenia z domu) lub stacjonarnie w punkcie potwierdzającym (urząd skarbowy, ZUS, poczta).
Profil zaufany w KSeF:
- Identyfikuje osobę fizyczną (po PESEL i imieniu/nazwisku).
- Przy logowaniu przez przeglądarkę — przekierowanie na login.gov.pl, potwierdzenie kodem SMS lub przez aplikację mObywatel.
- Idealny dla JDG — właściciel jest jednocześnie podatnikiem, profil zaufany wystarczy do codziennej obsługi KSeF.
- Dla spółek — tylko osoba fizyczna będąca właścicielem lub pełnomocnikiem może zalogować się profilem zaufanym i zarządzać kontem KSeF spółki. Sama spółka (podmiot prawny) nie ma profilu zaufanego.
Ograniczenie: profil zaufany nie nadaje się do automatycznych integracji — każde logowanie wymaga potwierdzenia kodem SMS. Nie możesz „delegować” profilu zaufanego innemu pracownikowi — jest to Twoja osobista tożsamość elektroniczna.
Podpis kwalifikowany — dla kogo i jak działa
Podpis kwalifikowany to zaawansowany elektroniczny podpis wymagający certyfikatu wydanego przez akredytowane centrum certyfikacji (Certum, EuroCert, Szafir, KIR). Jest płatny — koszt to zazwyczaj 200–400 zł rocznie, w zależności od dostawcy i zakresu.
Podpis kwalifikowany w KSeF:
- Identyfikuje osobę fizyczną (z certyfikatu) — podobnie jak profil zaufany, ale na wyższym poziomie bezpieczeństwa.
- Prawnie równoważny podpisowi własnoręcznemu — ma skutki prawne w całej UE (rozporządzenie eIDAS).
- Używany przez właścicieli firm, dyrektorów finansowych, prokurentów — osoby podpisujące dokumenty prawne.
- Fizyczny nośnik: karta kryptograficzna z czytnikiem lub token USB (pendrive).
- Logowanie bez kodu SMS — certyfikat jest lokalnie na urządzeniu, podpis generowany przez oprogramowanie.
Podpis kwalifikowany sprawdza się gdy: chcesz logować się bez kodu SMS, zarządzasz wieloma firmami z jednej tożsamości, lub Twoja firma wymaga wyższego poziomu zabezpieczeń. Sprawdź też artykuł o logowaniu do KSeF krok po kroku, gdzie opisana jest pełna procedura dla każdej metody.
Pieczęć kwalifikowana — rekomendowana dla spółek
Pieczęć kwalifikowana (pieczęć elektroniczna) to odpowiednik podpisu kwalifikowanego dla podmiotów prawnych — spółek, stowarzyszeń, fundacji. Certyfikat pieczęci jest przypisany do NIP i KRS firmy, nie do osoby fizycznej.
Dlaczego pieczęć kwalifikowana jest rekomendowana dla spółek:
- Logowanie pieczęcią kwalifikowaną automatycznie identyfikuje spółkę (NIP) bez potrzeby dodatkowego wyboru.
- Można ją używać niezależnie od tego, kto fizycznie korzysta z certyfikatu — jeśli certyfikat jest na urządzeniu firmy, każdy uprawniony pracownik może go użyć (z zachowaniem zasad bezpieczeństwa).
- Nie wymaga PESEL właściciela — co jest istotne gdy zarząd to cudzoziemcy bez PESEL.
- Jedna pieczęć kwalifikowana wystarczy do reprezentowania całej spółki w KSeF.
Koszt: 300–600 zł rocznie w zależności od dostawcy. Zarządza nią dział IT lub pełnomocnik spółki.
Token — dla oprogramowania, nie dla ludzi
Token KSeF to ciąg znaków (nie plik, nie karta — tylko tekst), który generujesz w Aplikacji Podatnika MF po zalogowaniu jedną z powyższych metod. Token wpisujesz w ustawieniach programu do faktur, który od tej chwili może automatycznie wysyłać i odbierać faktury bez Twojego ręcznego logowania.
Token nie jest metodą logowania dla człowieka — to narzędzie dla programów. Szczegóły opisuje artykuł o tokenie KSeF i uwierzytelnianiu programów.
Porównanie wszystkich metod uwierzytelniania
| Metoda | Koszt | Identyfikuje | Dla kogo najlepsze | Wymaga sprzętu |
|---|---|---|---|---|
| Profil zaufany | Bezpłatny | Osobę fizyczną (PESEL) | JDG, solo-przedsiębiorcy | Nie — wystarczy telefon z SMS |
| Podpis kwalifikowany | 200–400 zł/rok | Osobę fizyczną | Właściciele firm, zarząd, prokurent | Tak — karta + czytnik lub token USB |
| Pieczęć kwalifikowana | 300–600 zł/rok | Podmiot prawny (NIP/KRS) | Spółki z o.o., SA, fundacje | Tak — karta + czytnik lub token USB |
| Token KSeF | Bezpłatny | Program (nie osobę) | Oprogramowanie do faktur | Nie — tylko tekst do wklejenia |
Najczęstsze problemy i jak je rozwiązać
- Profil zaufany nie działa przez bank — spróbuj zalogować przez inny bank lub mObywatel. Upewnij się, że Twój profil jest aktywny na pz.gov.pl.
- Podpis kwalifikowany wygasł — odnów certyfikat u dostawcy przed próbą logowania. Wygasły certyfikat nie jest akceptowany przez system.
- Pieczęć kwalifikowana nie rozpoznaje NIP spółki — sprawdź czy NIP jest aktualny w KRS i rejestrze VAT. Rozbieżność między danymi w certyfikacie a bazą MF może blokować logowanie.
- Token nie działa w programie — sprawdź, czy token nie wygasł lub nie został odwołany. Wygeneruj nowy token w Aplikacji Podatnika MF.
FAQ — najczęstsze pytania o metody logowania do KSeF
Czy mogę mieć kilka metod logowania jednocześnie?
Tak — możesz mieć zarówno profil zaufany, jak i podpis kwalifikowany powiązane z tym samym NIP. Korzystasz z tej, która jest akurat wygodna. Token jest niezależną metodą dla programu — generujesz go po zalogowaniu dowolną z metod.
Czy pracownik firmy może logować się do KSeF własnym profilem zaufanym?
Tak — ale musi wcześniej otrzymać uprawnienia od właściciela NIP firmy. Loguje się własnym profilem zaufanym, a następnie przełącza na NIP pracodawcy (który nadał mu uprawnienia). Bez uprawnień pracownik widzi wyłącznie swój własny NIP.
Jaka metoda jest zalecana przez MF?
Ministerstwo Finansów nie wskazuje jednej „zalecanej” metody — każda jest akceptowalna. Praktycznie: dla JDG profil zaufany jest wystarczający i bezkosztowy. Dla spółek pieczęć kwalifikowana jest najbardziej przejrzysta. Dla biur rachunkowych i firm z wieloma pracownikami obsługującymi KSeF — warto mieć podpis kwalifikowany na urządzeniu służbowym i token dla programu.
Co dalej
Jeśli chcesz, żeby po jednorazowym zalogowaniu się i wygenerowaniu tokena program sam obsługiwał KSeF bez ręcznych logowań — sprawdź cennik KSeFakt albo listę funkcji. Dołącz do listy oczekujących i zaloguj się do KSeF tylko raz.