Token KSeF i uprawnienia: jak je nadać

Uprawnienia w KSeF sprowadzają się do dwóch pytań: kto działa w imieniu firmy i co dokładnie wolno mu zrobić. Token jest tylko sposobem, w jaki program potwierdza, że działa w tym samym imieniu. Poniżej obie rzeczy po kolei.

Co można nadać

KSeF nie ma ról w rozumieniu „księgowa" czy „kierownik". Są pojedyncze uprawnienia, zaznaczane osobno:

• wystawianie faktur,
• przeglądanie faktur,
• zarządzanie uprawnieniami,
• przeglądanie uprawnień,
• przeglądanie historii sesji,
• zarządzanie podmiotami podrzędnymi,
• operacje egzekucyjne.

Rola powstaje więc z zestawu. Księgowa, która ma tylko czytać, dostaje samo przeglądanie faktur. Osoba prowadząca sprzedaż dostaje wystawianie. Nadawanie kolejnych uprawnień wymaga osobnego uprawnienia do zarządzania nimi, którym dysponuje właściciel podmiotu.

Komu można nadać

Uprawnienie wiąże się z identyfikatorem, a nie z kontem w jakimś programie. KSeF przyjmuje trzy:

• NIP, gdy uprawniasz firmę,
• PESEL, gdy uprawniasz osobę,
• odcisk certyfikatu, gdy uprawniasz podpis kwalifikowany albo pieczęć.

Stąd praktyczny wniosek: pracownik nie „dostaje konta w KSeF". Dostaje uprawnienie przypięte do swojego numeru PESEL i loguje się nim do Aplikacji Podatnika.

Uprawnienia dla biura rachunkowego

Biuro nie działa na uprawnieniach swojego klienta, tylko dostaje własne. KSeF przewiduje na to dwie drogi.

Uprawnienie pośrednie pozwala uprawnić konkretną osobę do faktur klienta, w zakresie odczytu albo wystawiania. Pracownik biura widzi wtedy dokumenty klienta pod swoim identyfikatorem, a biuro nie musi rozdawać wspólnego dostępu.

Upoważnienie podmiotowe obejmuje sytuacje szczególne, każdą nadawaną osobno: samofakturowanie, faktury RR, przedstawiciela podatkowego oraz wystawianie w PEF. To nie jest zwykły dostęp do faktur, tylko prawo do działania w określonej roli podatkowej.

Czego przeglądanie faktur nie zawęża

To najczęstsze nieporozumienie i warto je znać, zanim zbudujesz proces na uprawnieniach KSeF.

Uprawnienie „przeglądanie faktur" daje dostęp do całej listy faktur podmiotu. Formularz nadania nie ma żadnego pola, które ograniczyłoby ten dostęp do wybranych dostawców, do kwot poniżej progu albo do jednego okresu. Kto czyta faktury, czyta wszystkie.

Dla jednoosobowej działalności to bez znaczenia. W firmie, w której koszty opisuje kilka osób, oznacza to, że zakres widoczności trzeba zbudować po swojej stronie, nad KSeF. Opisuje to poradnik o dostępie do faktur w firmie.

Czym jest token KSeF

Token to długi ciąg znaków, który firma generuje u siebie w Aplikacji Podatnika i przekazuje programowi. Program uwierzytelnia się nim w imieniu firmy, bez logowania człowieka i bez podpisu kwalifikowanego przy każdej operacji.

Token nosi własny zestaw uprawnień, zaznaczany przy generowaniu. Jest to ten sam zestaw co przy osobie, więc token może mieć samo przeglądanie faktur albo znacznie więcej.

Nadaj mu najmniej, ile wystarcza. Token z uprawnieniem do zarządzania uprawnieniami to klucz do całego podmiotu, przechowywany w cudzym systemie.

Jakie uprawnienie nadać programowi do obiegu faktur

Program, który ma pobierać faktury kosztowe i prowadzić je przez akceptację, potrzebuje wyłącznie przeglądania faktur. Nie wystawia dokumentów, nie zarządza uprawnieniami i nie dotyka podmiotów podrzędnych.

Jeżeli program prosi o więcej, zapytaj po co. Odpowiedź „tak jest wygodniej" nie jest odpowiedzią.

Generowanie wygląda tak: Aplikacja Podatnika, sekcja Tokeny, Generuj token, zaznaczone przeglądanie faktur. Token pokazuje się raz, więc kopiujesz go od razu. Po zapisaniu w programie nie da się go odczytać ponownie u siebie, można natomiast wygenerować nowy i unieważnić stary.

Jak działa uwierzytelnienie

Warto wiedzieć, co dzieje się dalej, bo tłumaczy to komunikaty o wygaśnięciu.

Program pobiera z KSeF jednorazowe wyzwanie ważne dziesięć minut, szyfruje nim token i odbiera w zamian klucz dostępu ważny kilkanaście minut oraz klucz odświeżający ważny siedem dni. Dopóki klucz odświeżający jest ważny, program przedłuża dostęp sam. Po dłuższej przerwie uwierzytelnienie zaczyna się od nowa, znowu od tokena.

Sam token nie wygasa z czasem. Przestaje działać, gdy firma go unieważni albo odbierze mu uprawnienie.

Czy token zadziała po 2026 roku

Według obowiązującego rozporządzenia token służy do uwierzytelniania w KSeF do 31 grudnia 2026 roku. Ministerstwo Finansów zdecydowało, że tokeny zostaną utrzymane bezterminowo, i zapowiedziało nowelizację rozporządzenia. Na dzień 22 października 2026 roku nowelizacja nie została ogłoszona.

Na konsultacjach 9 czerwca 2026 roku Ministerstwo zaproponowało też zmiany w samych tokenach: termin ważności od 1 do 365 dni oraz nowe uprawnienie do automatycznego odnawiania tokenu za zgodą właściciela. To propozycja, a nie przepis.

Od lutego 2026 roku do uwierzytelniania służą także certyfikaty KSeF. Certyfikat typu 1 służy do uwierzytelniania, a certyfikat typu 2 do wystawiania faktur w trybie offline. Certyfikat nie jest odpowiednikiem tokenu. Token zawiera uprawnienia nadane przy jego generowaniu, a certyfikat wyłącznie potwierdza tożsamość.

Do czasu nowelizacji wiąże data z rozporządzenia. Po ogłoszeniu nowelizacji zaktualizujemy ten poradnik.

Termin samego obowiązku wystawiania faktur w KSeF opisuje osobno poradnik o tym, od kiedy KSeF jest obowiązkowy.

Uprawnienia i token w KSeFobieg

KSeFobieg prosi o token z jednym uprawnieniem, czyli przeglądaniem faktur, i sam odświeża dostęp między pobraniami. Zakres widoczności dokumentów powstaje już po naszej stronie, z obiegu ustawionego przez firmę, więc pracownik widzi swoje dokumenty mimo że token sięga całego rejestru.

Zobacz elektroniczny obieg dokumentów →