KSeF uwierzytelnianie certyfikatami
Cel dokumentu
Celem dokumentu jest przedstawienie zasad uwierzytelniania w systemie KSeF 2.0 z wykorzystaniem certyfikatów KSeF. Opis przeznaczony jest dla jednostek samorządu terytorialnego (JST) integrujących aplikacje INFO-SYSTEM z API KSeF 2.0.
Nowy model uwierzytelniania
KSeF 2.0 wprowadza nowy, certyfikatowy model uwierzytelniania użytkowników i systemów. Każdy podmiot komunikujący się z API KSeF musi posiadać **ważny certyfikat KSeF**, wydany w ramach **Modułu Certyfikatów i Uprawnień (MCU)**.
Uwierzytelnianie certyfikatowe całkowicie zastępuje dotychczasowe mechanizmy i będzie jedynym dopuszczalnym sposobem logowania do KSeF od 2026 r.
Typy certyfikatów
W systemie funkcjonują dwa typy certyfikatów, różniące się zastosowaniem:
| Typ certyfikatu | Nazwa (CN) | Przeznaczenie |
|---|---|---|
| Typ 1 – „uwierzytelnianie” | CN=...uwierzytelnianie | Do logowania i pracy w sesjach interaktywnych lub wsadowych (API / GUI) |
| Typ 2 – „offline” | CN=...offline | Do wystawiania faktur w trybie OFFLINE (brak łączności z KSeF) |
Każdy certyfikat wydawany jest osobno – nie można połączyć typów 1 i 2 w jednym pliku.
Uzyskanie certyfikatu
Od 1 listopada 2025 r. certyfikaty KSeF można uzyskać w **Moduł Certyfikatów i Uprawnień (MCU)** dostępnym w domenie KSeF.
Procedura wydania certyfikatu
- Wejdź do **MCU** w domenie KSeF.
- Zaloguj się przy pomocy podpisu kwalifikowanego, podpisu zaufanego lub pieczęci kwalifikowanej.
- Wybierz typ certyfikatu (1 lub 2).
- Złóż wniosek o wydanie certyfikatu.
- Po zatwierdzeniu pobierz i zainstaluj certyfikat w środowisku produkcyjnym.
Funkcjonalność MCU dostępna jest wyłącznie z poziomu przeglądarki (brak interfejsu API).
Integracja z API KSeF 2.0
Nowe API KSeF 2.0 wymaga uwierzytelniania przy użyciu certyfikatów **Typ 1 (uwierzytelnianie)**.
Kluczowe założenia integracyjne
- Certyfikat służy wyłącznie do uwierzytelnienia – **nie przenosi uprawnień**.
- Uprawnienia użytkownika weryfikowane są po stronie KSeF na podstawie ról i powiązań w MCU.
- Certyfikat ma określony **okres ważności**; system integrujący powinien cyklicznie weryfikować jego stan i umożliwiać rotację.
- Każda jednostka (np. urząd, szkoła, MOPS) może posiadać własny certyfikat przypisany do NIP jednostki nadrzędnej.
- W przypadku pracy awaryjnej (offline) należy użyć odrębnego certyfikatu Typ 2 do oznaczania faktur kodem offline.
Dobre praktyki dla JST
- Stosuj odrębne certyfikaty dla poszczególnych jednostek organizacyjnych.
- Ogranicz dostęp do certyfikatów wyłącznie do osób uprawnionych.
- Przechowuj certyfikaty w bezpiecznym repozytorium kluczy.
- Planuj rotację certyfikatów przed upływem ich ważności.
- W systemach FK zapewniona będzie obsługę certyfikatów Typ 1 i Typ 2 oraz możliwość ich konfiguracji dla wielu jednostek.
Opracowano na podstawie: „Podręcznik KSeF 2.0 – Część I: Rozpoczęcie korzystania z KSeF”, MF, 2025.