Wszystkie wpisy

· 4 min czytania

Jak wygenerować certyfikat KSeF krok po kroku

Cała ścieżka w Aplikacji Podatnika KSeF: logowanie NIP-em, wniosek o certyfikat i pobranie plików .crt oraz .key.

  • ksef
  • certyfikat
  • konfiguracja

Aplikacja loguje się do KSeF certyfikatem: para plików .crt i .key (albo jeden .p12) plus hasło do klucza prywatnego. Certyfikat wyrabiasz sam, w Aplikacji Podatnika KSeF na stronie Ministerstwa Finansów. Poniżej cała ścieżka, od zalogowania do pobrania plików.

Na zrzutach pola i przyciski są ponumerowane w kolejności, w jakiej je klikasz. Czarne prostokąty zasłaniają dane identyfikujące: NIP, PESEL i nazwę właściciela certyfikatu. U siebie zobaczysz w tych miejscach swoje dane.

Czego potrzebujesz

  • NIP firmy, dziesięć cyfr.
  • Czegoś, czym potwierdzisz tożsamość: login.gov.pl (mObywatel, bankowość, Profil zaufany, e-dowód) albo certyfikat kwalifikowany.
  • Uprawnień w KSeF. Właściciel firmy ma je z automatu. Pracownik i biuro rachunkowe muszą je dostać od właściciela.

Krok 1: podaj NIP firmy

Aplikacja Podatnika najpierw pyta, w imieniu kogo się logujesz.

Ekran „Wpisz identyfikator podmiotu”: wybór identyfikatora, pole NIP i przycisk „Przejdź dalej”

  1. Zostaw zaznaczone „NIP podmiotu”. „Identyfikator wewnętrzny” dotyczy jednostek podrzędnych, nie zwykłej firmy.
  2. Wpisz NIP firmy. Same cyfry, bez kresek.
  3. Kliknij „Przejdź dalej”.

Krok 2: wybierz sposób logowania

Ekran „Zaloguj się do Aplikacji Podatnika KSeF” z kartami „Login.gov.pl” i „Certyfikat kwalifikowany”

  1. „Zaloguj przez login.gov.pl”. Najczęstsza droga dla jednoosobowej działalności i dla osób upoważnionych w firmie.
  2. „Zaloguj certyfikatem”, czyli podpisem kwalifikowanym albo pieczęcią elektroniczną. Jeśli Twój certyfikat kwalifikowany nie zawiera NIP-u ani PESEL-u, najpierw trzeba nadać uprawnienia na jego odcisk palca. Służy do tego „Pobierz odcisk palca” na tym samym ekranie.

Krok 3: potwierdź tożsamość

Po wybraniu login.gov.pl trafiasz na stronę rządową z listą metod.

Ekran login.gov.pl z listą sposobów logowania: mObywatel, bankowość, e-dowód, Profil zaufany

  1. „Aplikacja mObywatel”, czyli skan kodu QR telefonem. Najszybsze.
  2. „Profil zaufany”, na login i hasło albo przez bankowość. Zamiast tego możesz wybrać „Bankowość elektroniczna” lub „E-dowód”.

Po potwierdzeniu wracasz do Aplikacji Podatnika, już zalogowany. NIP z kroku 1 widać w prawym górnym rogu ekranu. Sprawdź, czy to właściwa firma.

Krok 4: złóż wniosek o certyfikat

W menu po lewej: „Certyfikaty”, potem „Wnioskuj o certyfikat”. Kreator ma dwa etapy. Pierwszy generuje parę kluczy.

Ekran „Generowanie klucza i wniosku o wydanie certyfikatu”: nazwa certyfikatu, hasło, powtórz hasło, przycisk „Generuj”

  1. Rozwiń „Certyfikaty” i kliknij „Wnioskuj o certyfikat”.
  2. „Nazwa certyfikatu”, od 5 do 100 znaków. Pod tą nazwą zapiszą się pliki, więc wpisz coś, co rozpoznasz później, np. Uwierzytelnienie 2026. Bez polskich znaków.
  3. „Hasło” zabezpiecza klucz prywatny. KSeF wymaga minimum 15 znaków, wielkiej i małej litery, cyfry oraz znaku specjalnego z zestawu !@#$%^&*()-_=+. Maksimum to 32 znaki, bez polskich znaków i bez innych znaków specjalnych.
  4. Powtórz hasło.
  5. Kliknij „Generuj”.

Zapisz to hasło razem z plikami. Bez niego klucz prywatny jest bezużyteczny, a w aplikacji podajesz je przy dodawaniu firmy.

Klucz prywatny zapisuje się na dysk

Po kliknięciu „Generuj” przeglądarka pobiera plik .key. To Twój klucz prywatny, zaszyfrowany hasłem z punktu 3. KSeF go nie przechowuje i nie wyda go drugi raz. Jeśli go zgubisz, certyfikat jest do wyrzucenia i składasz nowy wniosek.

Krok 5: prześlij wniosek

Kreator przechodzi na ekran „Przesłanie wniosku” (2 z 2).

  1. W sekcji „Przeznaczenie certyfikatu” wybierz „Uwierzytelnienie w systemie KSeF”. Tego certyfikatu oczekuje aplikacja. Wariant do podpisywania faktur offline służy do czegoś innego.
  2. „Certyfikat ważny od” system ustawia na dziś. Certyfikat jest ważny 2 lata.
  3. Kliknij „Wyślij wniosek o wydanie certyfikatu”.

Wydanie trwa od kilku sekund do kilku minut. Status odświeżysz przyciskiem „Odśwież”.

Krok 6: pobierz certyfikat

Menu „Certyfikaty”, potem „Lista certyfikatów”.

Ekran „Lista certyfikatów”: zaznaczony wiersz, kolumna Status z wartością „Aktywny” i przycisk „Pobierz certyfikat”

  1. Kliknij „Lista certyfikatów”.
  2. Zaznacz checkbox przy swoim certyfikacie. Możesz zaznaczyć kilka.
  3. Sprawdź kolumnę „Status”, bo pobrać można tylko certyfikat ze statusem „Aktywny”. W kolumnie „Przeznaczenie” powinno być „Uwierzytelnienie”.
  4. Rozwiń „Pobierz certyfikat” i wybierz format PEM. Na dysk trafia plik .crt.

Masz komplet: .crt z tego kroku, .key z kroku 4 i hasło. Dokładnie o te trzy rzeczy pyta okno „Dodaj firmę”, które opisujemy w Pierwsze uruchomienie: dodaj firmę. Jeśli zastanawiasz się, czym para .crt i .key różni się od jednego .p12, wyjaśniamy to w Certyfikat KSeF: .p12 czy .crt + .key.

Certyfikat nie jest wieczny. Zapisz w kalendarzu datę z kolumny „Ważny do” i złóż nowy wniosek, zanim stary wygaśnie. Od tego zależy pobieranie faktur.

A co z tokenami

KSeF pozwala się uwierzytelniać także tokenem, ale tylko do 31 grudnia 2026 roku. Od 1 stycznia 2027 zostają wyłącznie certyfikaty. Ksefpobierz obsługuje wyłącznie certyfikaty.