Token KSeF

Z tokenem KSeF program księgowy albo Twój własny skrypt sam pobiera faktury z KSeF, a nikt nie musi za każdym razem logować się podpisem. Źle wybrane uprawnienia albo token zostawiony w mailu dają jednak komuś dostęp do faktur firmy.

Jak to działa?

1. Zaloguj się w Aplikacji Podatnika KSeF (ap.ksef.mf.gov.pl) przez login.gov.pl albo certyfikatem kwalifikowanym i wybierz kontekst: NIP firmy.
2. W menu wybierz „Generuj token”, wpisz nazwę, po której rozpoznasz integrację, i zaznacz uprawnienia. Do wyboru jest 6, na przykład wystawianie faktur i przeglądanie faktur (podręcznik Aplikacji Podatnika).
3. Kliknij „Generuj token”, potem „Odśwież” i „Kopiuj”. Token pokazuje się tylko raz, więc zapisz go od razu w menedżerze haseł albo w magazynie sekretów, nie w mailu i nie w arkuszu.
4. Wklej token w ustawieniach integracji KSeF w programie. Program loguje się nim do API sam, bez żadnego dodatkowego podpisu.
5. Na liście tokenów sprawdź nazwę, twórcę, datę aktywacji i datę ostatniego użycia. Zbędny albo ujawniony token zaznacz i unieważnij.

Uprawnień tokenu nie da się zmienić. Gdy program ma robić coś więcej, wygeneruj nowy token i unieważnij stary. Tokenów możesz mieć dowolnie wiele, więc dla każdej integracji zrób osobny: jeden da się wtedy odciąć, a pozostałe działają dalej.

Przykład z praktyki

Przykład: skrypt, który kopiuje faktury z KSeF do lokalnej bazy, dostaje token z jednym uprawnieniem, przeglądaniem faktur. Token leży poza kodem, w pliku dostępnym dla jednego konta albo w menedżerze haseł. Tak samo możesz zabezpieczyć integrację własnego programu z KSeF.

Kiedy ma sens, a kiedy nie?

Token ma sens, gdy program tylko pobiera albo wysyła faktury, a Ty chcesz dać mu wąski dostęp. Biuro rachunkowe działa tak: firma nadaje biuru uprawnienia, a biuro generuje własny token w kontekście każdej obsługiwanej firmy. Token jest osobisty: podręcznik MF nie pozwala, żeby używał go ktoś inny niż osoba, która go wygenerowała. Nie przekazuj go dalej mailem.

Jeśli program potrzebuje pracować w wielu firmach naraz albo oznaczać faktury kodem QR w trybie offline, token nie wystarczy i potrzebny jest certyfikat KSeF. Kto zalogował się tokenem, nie wytworzy też certyfikatu.

Połączenie KSeF z obiegiem faktur w Microsoft 365 budujemy w ramach automatyzacji i integracji. Opisz w formularzu, jak faktury trafiają dziś do księgowości. Odpowiemy zwykle w 1–2 dni robocze z propozycją, co da się zautomatyzować.

Opisz swój obieg faktur

Na co uważać?

Jak długo token jest ważny?

Na razie token jest ważny do czasu unieważnienia. Rozporządzenie dopuszcza tokeny do 31.12.2026, Ministerstwo Finansów zapowiada ich utrzymanie z terminem ważności od 1 do 365 dni (odpowiedź na interpelację 19230), a zespół API KSeF zapowiada, że tokeny wydane do końca 2026 r. będą działać do 30.11.2027 (wątek w dokumentacji API). Zanim ustawisz token w ważnej integracji, sprawdź aktualny komunikat na ksef.podatki.gov.pl.

Odebranie uprawnień nie unieważnia tokenu

Odebranie osobie uprawnień blokuje logowanie jej tokenem, ale go nie unieważnia, a ponowne nadanie uprawnień przywraca jego działanie (Podręcznik KSeF 2.0, cz. I). Po odejściu pracownika albo zmianie dostawcy programu unieważnij token na liście, a nie tylko odbieraj uprawnienia.

Limity zapytań

Token nie zdejmuje limitów API. Lista faktur ma w dokumentacji limit 20 zapytań na godzinę dla pary NIP i adresu IP, a po przekroczeniu API zwraca kod 429. Powtarzane przekroczenia mogą skończyć się blokadą dostępu. Dlatego program powinien pobierać faktury do własnej bazy i szukać w niej, a nie pytać KSeF o każde wyszukiwanie.

Testy i koszt

Token do prób wygenerujesz w testowej wersji Aplikacji Podatnika, gdzie dane są fikcyjne. Na produkcji każda wysłana faktura ma skutki prawne. Aplikacja Podatnika, w której generujesz token, jest bezpłatnym narzędziem MF. Koszt integracji to czas na konfigurację i utrzymanie.

To opis praktyczny, nie porada podatkowa. W konkretnej sprawie zapytaj księgowego albo doradcę podatkowego.

Pytania i odpowiedzi

Jak odzyskać token KSeF, którego nie zapisałem?

Nie da się. Aplikacja Podatnika pokazuje token tylko raz, zaraz po wygenerowaniu. Jeśli go nie zapisałeś, wygeneruj nowy z tymi samymi uprawnieniami, wklej go do programu, a stary unieważnij na liście tokenów.

Czy jeden token obsłuży kilka firm?

Nie. Token działa tylko w kontekście, czyli dla NIP-u, w którym powstał. Biuro rachunkowe generuje więc osobny token w kontekście każdej obsługiwanej firmy, po tym jak firma nada biuru uprawnienia.

Czy tokenem można zalogować się do Aplikacji Podatnika?

Nie. Token służy tylko programom, które łączą się z API. Do Aplikacji Podatnika logujesz się przez login.gov.pl, czyli profilem zaufanym, mObywatelem, bankowością albo e-dowodem, albo certyfikatem kwalifikowanym.

Zobacz też

• Integracja z KSeF
• API
• OCR faktur

Artykuły, w których pojawia się to pojęcie

• Jak podłączyć KSeF do własnych narzędzi: token, certyfikat, API