KSeF — uwierzytelnianie

KSeF wymaga silnego uwierzytelnienia każdego podmiotu, który wystawia lub odbiera faktury. Metody uwierzytelniania są wymienione w ustawie (Ustawa o KSeF) — ta strona omawia każdą z nich oraz praktyczne konsekwencje dla sp. z o.o.

Dostępne metody

Kwalifikowany podpis elektroniczny

Elektroniczny podpis wystawiany osobie fizycznej przez kwalifikowanego dostawcę (np. KIR/Szafir, Certum, EuroCert). Weryfikuje tożsamość konkretnej osoby — np. członka zarządu lub prokurenta.

Jak działa w KSeF:

• Członek zarządu loguje się własnym podpisem.
• Może wystawiać faktury w imieniu spółki.
• Może nadawać pełnomocnictwa innym osobom (np. księgowej) do logowania w imieniu spółki.

Wady:

• Ważność 1–2 lata, wymaga odnowienia.
• Koszt rzędu 300–500 zł rocznie.
• Fizyczna karta z czytnikiem lub token USB.

Kwalifikowana pieczęć elektroniczna

Odpowiednik podpisu, ale nadawany podmiotowi prawnemu (spółce), nie osobie fizycznej. Wystawiana na NIP spółki.

Zalety:

• Nie jest zawężona do konkretnego człowieka — dowolna osoba z dostępem do klucza prywatnego pieczęci może z niej korzystać.
• Dobra do systemów zautomatyzowanych — np. integracji księgowej, która wystawia faktury w tle.

Wady:

• Droższa od podpisu osobistego (600–1200 zł rocznie).
• Wymaga rygorystycznej ochrony klucza prywatnego.

Certyfikat KSeF (rekomendowany dla integracji)

Certyfikat programowy wystawiany przez Ministerstwo Finansów bezpłatnie. Wydawany po uprzednim zalogowaniu kwalifikowanym podpisem / pieczęcią — służy jako trwałe kredencjale do API KSeF dla integracji księgowych.

Jak uzyskać:

1. Zaloguj się na ksef.mf.gov.pl kwalifikowanym podpisem albo pieczęcią.
2. Wygeneruj wniosek o certyfikat KSeF (NIP + okres ważności).
3. Podpisz wniosek podpisem kwalifikowanym.
4. Pobierz certyfikat .p12 — waży kilka kB.

Zalety:

• Bezpłatny.
• Waży mało, łatwo integrować z aplikacją.
• Nie wygasa przy wygaśnięciu osobistego podpisu członka zarządu.

Wady:

• Pierwsze wydanie wymaga mimo wszystko podpisu / pieczęci.
• Jest wiązany z NIP spółki — przy zmianie właściciela wymaga nowego.

Profil Zaufany (tymczasowo, do 31 marca 2026 r.)

Profil Zaufany (PZ) pozwalał na logowanie do KSeF bez posiadania kwalifikowanego podpisu — wystarczył PZ połączony z bankowością elektroniczną lub wizytą w urzędzie.

Od 1 kwietnia 2026 r. Profil Zaufany NIE jest już dostępny jako metoda logowania do KSeF. Osoby, które korzystały wyłącznie z PZ, muszą przed tą datą:

1. Kupić kwalifikowany podpis, pieczęć lub
2. Wydać certyfikat KSeF (wymaga jednorazowego podpisu / pieczęci — można pożyczyć od księgowej, biura rachunkowego, kogoś z zarządu).

Pełnomocnictwa w KSeF

Wewnątrz KSeF można nadawać pełnomocnictwa — delegowanie uprawnień do wystawiania / odbierania faktur innej osobie lub firmie.

Typowe scenariusze:

• Biuro rachunkowe — spółka nadaje pełnomocnictwo biuru do wystawiania faktur w jej imieniu.
• Pracownik — członek zarządu nadaje pełnomocnictwo księgowej.
• System księgowy — spółka wydaje certyfikat KSeF dla Numify (lub innego systemu), który następnie działa w jej imieniu.

Pełnomocnictwo można ograniczyć do konkretnych uprawnień:

• wystawianie — tylko wystawianie.
• odbieranie — tylko pobieranie faktur zakupu.
• zarzadzanie_uprawnieniami — nadawanie dalszych pełnomocnictw.

Rekomendowana konfiguracja dla sp. z o.o.

Typowa sp. z o.o. powinna mieć:

1. Certyfikat KSeF spółki — do komunikacji API z Numify / systemem księgowym.
2. Podpis kwalifikowany prezesa / prokurenta — do jednorazowych akcji wymagających osobistego uwierzytelnienia (np. zmiana pełnomocnictw, odnawianie certyfikatu).
3. Opcjonalnie — pełnomocnictwo dla księgowej — jeśli księgowa ma dostęp do KSeF w interfejsie przeglądarkowym.

Implementacja w Numify

Certyfikat KSeF w Numify jest przechowywany zaszyfrowany (AES-256-CBC) w tabeli ksef_credentials. Sesja z KSeF negocjowana jest przez challenge-response i ma krótki czas życia — implementacja w ksef-api.ts oraz ksef-service.ts (initSession / getOrInitSession).

Rotacja kluczy: certyfikat KSeF ma własny okres ważności (ustawiany przy wydawaniu przez MF). Pilnowanie daty wygaśnięcia i wydania nowego certyfikatu leży obecnie po stronie użytkownika — zautomatyzowane przypomnienia są planowane w kolejnym etapie.

Historia zmian podstawy prawnej

1. 2026-04-16Phase 2

   Pierwsza wersja — zagregowana z _legacy/KSEF-REFERENCE.md oraz komunikatów MF o wygaśnięciu Profilu Zaufanego jako metody logowania.