Token autoryzacyjny KSeF — co to jest i jak go wygenerować

Co to jest token autoryzacyjny

Żeby program mógł wysłać fakturę do KSeF „za Ciebie”, system musi mieć pewność, że to naprawdę Twoja firma, a nie ktoś podszywający się pod nią. Do tego służy token autoryzacyjny — unikalny, tajny ciąg znaków przypisany do Twojego NIP-u i do konkretnych uprawnień. Program przechowuje ten token i przy każdej wysyłce faktury pokazuje go KSeF jako dowód: „mam prawo działać w imieniu tej firmy”.

W praktyce token to alternatywa albo uzupełnienie certyfikatu KSeF — oba służą temu samemu: uwierzytelnieniu programu w systemie. Token jest prostszy w obsłudze (to zwykły tekst do skopiowania), certyfikat to plik z kluczem. Nie musisz rozumieć technicznych szczegółów — wystarczy, że raz podłączysz jedną z tych metod i program zajmie się resztą.

• Jest tajny — traktuj go jak hasło do konta bankowego. Kto ma token, może wystawiać faktury w imieniu firmy.
• Kopiujesz go RAZ — po wygenerowaniu wklejasz do programu jeden raz. Nie trzeba go wpisywać przy każdej fakturze.
• Można go unieważnić — jeśli token wycieknie albo zmienisz program, kasujesz stary w Aplikacji Podatnika i tworzysz nowy.

Token czy certyfikat KSeF — czym się różnią

W nowej wersji KSeF (tej obowiązkowej od 2026 r.) popularniejszą i zalecaną metodą jest certyfikat KSeF — plik z kluczem, który pobierasz z Aplikacji Podatnika. Token autoryzacyjny to starsze, ale wciąż działające rozwiązanie i w wielu programach nadal dostępne. Różnica dla Ciebie jest niewielka:

• Certyfikat KSeF — plik, który pobierasz i wskazujesz programowi. Bardziej „domyślna” metoda w nowym KSeF, zalecana przez Ministerstwo.
• Token autoryzacyjny — tekst, który kopiujesz i wklejasz. Prostszy do przeniesienia, ale trzeba go pilnować jak hasła.

Obie metody dają ten sam efekt: fakturę przyjętą przez KSeF z numerem KSeF i urzędowym potwierdzeniem odbioru (UPO). Wybierasz jedną — nie musisz konfigurować obu. Więcej o samym logowaniu do systemu opisujemy w osobnym tekście o uwierzytelnieniu w KSeF.

Jak wygenerować token — krok po kroku

Token tworzysz w bezpłatnej, rządowej Aplikacji Podatnika KSeF. Cała operacja zajmuje kilka minut i robisz ją raz:

• Zaloguj się do Aplikacji Podatnika — przez Profil Zaufany, e-dowód albo podpis kwalifikowany. To rządowy portal, ten sam, z którego pobiera się certyfikat.
• Wybierz firmę (NIP) — jeśli działasz w imieniu kilku podmiotów, wskaż właściwy. Token będzie przypisany dokładnie do tego NIP-u.
• Wejdź do sekcji tokenów / uprawnień — to miejsce, w którym zarządza się dostępami do systemu. Wybierz opcję utworzenia nowego tokena.
• Zaznacz zakres uprawnień — najważniejsze przy fakturowaniu to wystawianie faktur (a jeśli chcesz też pobierać koszty — również odbieranie). Bez odpowiedniego uprawnienia token nie zadziała.
• Wygeneruj i skopiuj token — system pokaże długi ciąg znaków. Skopiuj go od razu, bo zwykle wyświetla się tylko raz. Potem wklejasz go do programu w miejscu podłączenia KSeF.

W „Prostej Fakturze” token wklejasz w ustawieniach integracji z KSeF — a od tego momentu faktury wysyłają się jednym kliknięciem. Jeśli wolisz metodę zalecaną w nowym KSeF, ten sam ekran pozwala podłączyć certyfikat; całą procedurę ze zrzutami ekranu pokazujemy w poradniku jak podłączyć KSeF krok po kroku. Możesz też po prostu założyć konto i wystawić pierwszą fakturę za darmo — przez 30 dni bez żadnych limitów.

Uwaga na uprawnienia i środowisko

Dwie rzeczy najczęściej powodują komunikat o błędzie przy pierwszej wysyłce — warto je sprawdzić z góry:

• Odpowiednie uprawnienie — token musi mieć zaznaczone prawo do wystawiania faktur. Token utworzony tylko do podglądu nie wyśle dokumentu — KSeF odrzuci go komunikatem o braku uprawnień.
• Właściwe środowisko — KSeF ma osobne środowisko produkcyjne (prawdziwe faktury) i testowe (do prób). Token z środowiska testowego nie zadziała na produkcji i odwrotnie. Do realnego fakturowania potrzebujesz tokena z produkcji.
• Zgodny NIP — token jest przypisany do konkretnej firmy. Jeśli program wysyła fakturę z innego NIP-u niż ten z tokena, system ją odrzuci.

Jeśli zobaczysz komunikat w rodzaju „nieprawidłowy zakres uprawnień”, w 9 na 10 przypadków chodzi właśnie o jedną z tych trzech rzeczy — nie o błąd programu.

Bezpieczeństwo tokenu

Token to klucz do wystawiania faktur w imieniu firmy, więc traktuj go jak hasło:

• Nie udostępniaj go — nie wysyłaj mailem, nie wklejaj na czacie, nie zapisuj w miejscu, do którego mają dostęp osoby postronne.
• Wklej tylko do zaufanego programu — dobry program przechowuje token w formie zaszyfrowanej, a nie jako zwykły tekst. W „Prostej Fakturze” token trzymamy zaszyfrowany, a jego treść jest odebrana nawet Twojemu kontu w aplikacji.
• Unieważnij, gdy trzeba — jeśli podejrzewasz, że token wyciekł, albo rezygnujesz z programu, skasuj go w Aplikacji Podatnika. Od tej chwili przestaje działać, a możesz wygenerować nowy.

Dzięki możliwości unieważniania token jest bezpieczny nawet w razie wpadki: nie zmieniasz haseł do całej firmy, tylko kasujesz jeden token i tworzysz kolejny.

Częste pytania

Czy muszę mieć i token, i certyfikat? Nie. Wybierasz jedną metodę uwierzytelnienia. W nowym KSeF zalecany jest certyfikat, ale token też w pełni wystarcza — oba prowadzą do faktury przyjętej przez system.

Token się „zużywa” po jednej fakturze? Nie. Kopiujesz go raz, a program używa go do wszystkich kolejnych wysyłek. Działa, dopóki go nie unieważnisz albo nie wygaśnie zgodnie z ustawieniami w Aplikacji Podatnika.

Zgubiłem token — co teraz? Nie da się go „odzyskać”, bo ze względów bezpieczeństwa pokazuje się tylko raz. Po prostu wygenerujesz nowy w Aplikacji Podatnika i wkleisz go do programu w miejsce starego.

Czy token wystarczy, żeby zacząć wystawiać faktury? Tak — po wklejeniu tokena z uprawnieniem do wystawiania i z właściwego środowiska program jest gotowy do wysyłki. Dalej działasz już normalnie: wypełniasz fakturę i klikasz „Wyślij do KSeF”.

Zobacz też: uwierzytelnienie w KSeF — token, certyfikat, Profil Zaufany oraz jak wystawić fakturę w KSeF krok po kroku.