Jak wygenerować certyfikat KSeF? Instrukcja krok po kroku

Certyfikat KSeF to elektroniczne poświadczenie tożsamości wydawane bezpłatnie przez Krajowy System e-Faktur. Jest niezbędny do wystawiania faktur w trybach offline (offline24, awaria systemu) — to na jego podstawie generowany jest drugi kod QR „CERTYFIKAT" na fakturze. Co ważne, od 1 stycznia 2027 r. certyfikaty całkowicie zastąpią tokeny autoryzacyjne, więc każda firma korzystająca z integracji z KSeF powinna wygenerować certyfikat przed końcem 2026 roku.

W tym poradniku pokazujemy cały proces krok po kroku, na zrzutach ekranu z oficjalnego podręcznika Aplikacji Podatnika KSeF 2.0 Ministerstwa Finansów.

Zanim zaczniesz — co warto wiedzieć

  • Certyfikat jest darmowy i ważny 2 lata od daty początku ważności.
  • Istnieją dwa przeznaczenia certyfikatu, o które wnioskuje się osobno:
    • Podpis linku weryfikacyjnego wystawcy — do oznaczania faktur kodem QR w trybach offline,
    • Uwierzytelnienie w systemie KSeF — do logowania i integracji systemów (następca tokenów).
  • Certyfikat sam w sobie nie nadaje uprawnień — to wyłącznie środek uwierzytelnienia. Uprawnienia w KSeF trzeba mieć nadane niezależnie.
  • Środek uwierzytelnienia użyty przy logowaniu (i zawarty w nim NIP lub PESEL) decyduje o tym, na jaki identyfikator zostanie wydany certyfikat.

Krok 1. Zaloguj się do Aplikacji Podatnika KSeF 2.0

Wejdź na stronę Aplikacji Podatnika KSeF 2.0 (dostępną z portalu podatki.gov.pl) i uwierzytelnij się — Profilem Zaufanym (najprostsza metoda dla jednoosobowej działalności), kwalifikowanym podpisem elektronicznym albo pieczęcią kwalifikowaną. Następnie wybierz kontekst działania, czyli NIP firmy, dla której chcesz wygenerować certyfikat.

Na ekranie głównym aplikacji znajdziesz kafelek „Wnioskuj o certyfikat" — kliknij go, aby rozpocząć.

Krok 2. Wygeneruj klucz i wniosek o certyfikat

W pierwszym kroku formularza aplikacja generuje parę kluczy: publiczny (dołączany do wniosku) i prywatny (pozostaje wyłącznie u Ciebie).

Wnioskowanie o certyfikat — krok 1: generowanie klucza i wniosku o wydanie certyfikatu

Wypełnij pola:

  • Nazwa certyfikatu — od 5 do 100 znaków; pod tą nazwą zapisany zostanie klucz prywatny i certyfikat.
  • Hasło — zabezpiecza klucz prywatny. Musi mieć od 15 do 32 znaków, zawierać wielką i małą literę (bez polskich znaków), cyfrę oraz jeden ze znaków specjalnych !@#$%^&*()-_=+.
  • Powtórz hasło i kliknij Generuj.

Uwaga: hasła nie da się zresetować — zapisz je w bezpiecznym miejscu (np. menedżerze haseł). Klucz prywatny zostanie automatycznie zapisany na Twoim urządzeniu jako plik .key (np. moj_certyfikat.key).

Krok 3. Prześlij wniosek o wydanie certyfikatu

W drugim kroku wybierz przeznaczenie certyfikatu i datę początku ważności.

Wnioskowanie o certyfikat — krok 2: przesłanie wniosku, wybór przeznaczenia i daty ważności

  • Przeznaczenie certyfikatu — „Podpis linku weryfikacyjnego wystawcy" (kody QR w trybach offline) albo „Uwierzytelnienie w systemie KSeF". Jeśli potrzebujesz obu, cały proces przejdziesz dwukrotnie.
  • Certyfikat ważny od — domyślnie data bieżąca; certyfikat będzie ważny 2 lata od podanej daty. Przy odnawianiu certyfikatu warto wskazać dzień następny po wygaśnięciu obecnego.

Kliknij Wyślij wniosek o wydanie certyfikatu.

Krok 4. Poczekaj na wydanie i pobierz certyfikat

Wniosek jest przetwarzany zwykle w ciągu kilku minut. Klikaj Odśwież, aby sprawdzić status.

Wnioskowanie o certyfikat — proces w trakcie realizacji

Po pomyślnym zakończeniu zobaczysz potwierdzenie wydania certyfikatu. Kliknij Pobierz certyfikat, aby zapisać go na urządzeniu (format PEM, plik .crt).

Pomyślne zakończenie procesu — przyciski Pobierz certyfikat, Lista certyfikatów, Wnioskuj o kolejny certyfikat

Ważne: z KSeF można pobrać jedynie certyfikat z kluczem publicznym. Jeśli utracisz klucz prywatny (plik .key) lub hasło do niego, nie odzyskasz ich z systemu — trzeba będzie wygenerować nowy certyfikat.

Zarządzanie certyfikatami — lista, pobieranie, unieważnianie

Wszystkie wydane certyfikaty znajdziesz na ekranie Lista certyfikatów. Możesz tam sprawdzić numer seryjny, przeznaczenie, status i daty ważności, ponownie pobrać certyfikat (PEM) albo go unieważnić.

Lista certyfikatów w Aplikacji Podatnika KSeF 2.0 — filtry, pobieranie i unieważnianie

Jeśli klucz prywatny mógł trafić w niepowołane ręce, niezwłocznie unieważnij certyfikat: zaznacz go na liście, kliknij Unieważnij, wybierz powód i potwierdź. Operacji nie można cofnąć.

Okno potwierdzenia unieważnienia certyfikatu z wyborem powodu

Najczęstsze pytania

Ile kosztuje certyfikat KSeF? Nic — wydawany jest bezpłatnie przez system KSeF.

Jak długo jest ważny? Maksymalnie 2 lata od daty początku ważności; potem trzeba wygenerować nowy.

Czy certyfikat mogę wygenerować przez program księgowy? Tak — wniosek można złożyć także przez API KSeF 2.0; większość programów księgowych i integratorów udostępnia tę funkcję.

Co z tokenami? Tokeny autoryzacyjne działają tylko do 31 grudnia 2026 r. Od 1 stycznia 2027 r. jedyną metodą automatycznego uwierzytelnienia będą certyfikaty KSeF.

Podsumowanie

Wygenerowanie certyfikatu KSeF zajmuje kilkanaście minut: logowanie do Aplikacji Podatnika KSeF 2.0, nazwa i hasło, wybór przeznaczenia, wysłanie wniosku i pobranie pliku. Kluczowe jest bezpieczne przechowanie klucza prywatnego i hasła — bez nich certyfikat będzie bezużyteczny, a systemu nie da się poprosić o ich odzyskanie.

Podstawy systemu wyjaśniamy w artykule Co to jest KSeF?, a o wystawianiu faktur przeczytasz w poradniku Jak wystawić fakturę?. Jeśli wolisz, aby certyfikatami, uprawnieniami i fakturowaniem w KSeF zajął się ktoś za Ciebie — skontaktuj się z biurem rachunkowym LinTax.

Zrzuty ekranu pochodzą z oficjalnego podręcznika użytkownika Aplikacji Podatnika KSeF 2.0 (Ministerstwo Finansów, wersja 2.4, czerwiec 2026).