Token KSeF a koniec 2026 – co się faktycznie zmienia w uwierzytelnianiu

Co się faktycznie zmienia w uwierzytelnianiu KSeF

Krajowy System e-Faktur od 1 listopada 2025 r. udostępnia dwie metody uwierzytelniania do automatycznego pobierania faktur: dotychczasowy token (ciąg znaków generowany w portalu) oraz nowy certyfikat KSeF (plik elektroniczny, odpowiednik podpisu wystawcy lub odbiorcy). Zgodnie z rozporządzeniem Ministra Finansów i Gospodarki z 12 grudnia 2025 r. w sprawie korzystania z KSeF (Dz.U. 2025 poz. 1815, opublikowane 18 grudnia 2025 r.), generowanie i wykorzystywanie tokenów miało być możliwe tylko do 31 grudnia 2026 r. – od 1 stycznia 2027 r. jedyną metodą logowania miał zostać certyfikat.

To wciąż obowiązujący stan prawny. Innymi słowy: jeśli nic się nie zmieni, każda integracja logująca się do KSeF tokenem – w tym część zewnętrznych narzędzi i własnych skryptów – przestanie działać z dniem 1 stycznia 2027 r., dopóki ktoś ręcznie nie przełączy jej na certyfikat.

Propozycja MF z czerwca 2026: tokeny mogą jednak zostać

9 czerwca 2026 r. Ministerstwo Finansów, za pośrednictwem Krajowej Informacji Skarbowej, przeprowadziło i podsumowało pierwsze otwarte konsultacje po częściowym wdrożeniu obowiązkowego KSeF. Jednym z wniosków – zgłaszanym przez przedsiębiorców i biura rachunkowe – była prośba o utrzymanie tokenów jako stałej, a nie wygaszanej metody logowania.

W odpowiedzi resort zaproponował, by tokeny pozostały dostępne również po 31 grudnia 2026 r., z dodatkowymi zmianami: możliwością ustawienia ważności tokenu od 1 do 365 dni oraz nowym uprawnieniem pozwalającym odnawiać token automatycznie za zgodą właściciela. W uzasadnieniu MF wskazało na zainteresowanie tym narzędziem, jego prostotę i wygodę w codziennej pracy.

Innymi słowy: wszystko wskazuje, że tokeny prawdopodobnie zostaną, ale dopóki zmiana nie trafi do rozporządzenia, formalnie obowiązuje termin 31 grudnia 2026 r. Firmy, które już dziś przełączą integrację na certyfikat, nie muszą śledzić dalszego przebiegu legislacji – ich dostęp do KSeF jest mniej narażony na skutki ewentualnej zmiany przepisów.

Jak sprawdzić, czy Twoja integracja używa tokena czy certyfikatu

Zanim zaplanujesz migrację, ustal, co faktycznie łączy się z KSeF w Twojej firmie. Najczęściej chodzi o jedno z trzech miejsc:

1. 1
   Panel KSeF Import

   W ustawieniach firmy sprawdzasz, czy przy danym NIP wgrany jest plik certyfikatu .p12, czy token wpisany ręcznie przy konfiguracji. Obie metody działają dziś identycznie – różnica ujawni się dopiero po zmianie przepisów.

2. 2
   Program księgowy

   Comarch Optima, enova365, Symfonia i inne programy z modułem KSeF mają w ustawieniach integracji osobną sekcję logowania – token lub certyfikat. Sprawdzasz to samo miejsce, w którym raz wpisywałeś dane dostępowe.

3. 3
   Własne skrypty i automatyzacje

   Jeśli faktury pobiera własny skrypt, n8n lub inne narzędzie no-code, token zwykle siedzi w zmiennej środowiskowej lub pliku konfiguracyjnym połączenia z API KSeF – to najłatwiej przeoczyć miejsce, bo nikt go nie odwiedza miesiącami.

4. 4
   Uprawnienia biura rachunkowego

   Jeśli fakturami zarządza biuro na podstawie ZAW-FA, dopytaj, jaką metodą loguje się do Twojego NIP-u – to biuro odpowiada za certyfikat lub token dla powierzonych spraw.

Jak przejść z tokena na certyfikat bez przerwy w synchronizacji

Certyfikat KSeF pobierasz z panelu podatnika w kilka minut, a proces krok po kroku – od generowania pliku po wgranie go do konta – opisuje osobny artykuł: certyfikat KSeF – jak pobrać, wgrać i odnowić. Tutaj skupiamy się na samej migracji z tokena.

1. Wygeneruj certyfikat KSeF w portalu podatnika (dostępny od 1 listopada 2025 r., wymaga podpisu profilem zaufanym lub podpisem kwalifikowanym).
2. Pobierz plik certyfikatu w formacie .p12 na dysk – bez udostępniania go osobom trzecim.
3. W panelu KSeF Import wejdź w ustawienia danego NIP-u i wgraj certyfikat w miejsce tokenu – automatyczne pobieranie faktur działa dalej według tego samego harmonogramu.
4. Zostaw stary token aktywny przez kilka dni jako zapasową metodę – dopiero po potwierdzeniu, że certyfikat pobiera faktury bez błędów, unieważnij token w portalu KSeF.
5. Przy kilku NIP-ach (biuro rachunkowe, grupa spółek) powtórz wymianę dla każdej firmy osobno – każdy NIP ma własny, niezależny certyfikat.

Dla kogo ten termin jest szczególnie istotny

Ryzyko przestoju rośnie tam, gdzie logowanie do KSeF skonfigurowano raz i od tamtej pory nikt do niego nie wraca:

• Biura rachunkowe z wieloma klientami – przy 20 NIP-ach jednego zapomnianego tokenu łatwo nie zauważyć, dopóki nie zniknie synchronizacja jednej z firm; nadawanie uprawnień przez ZAW-FA to dobry moment, żeby przy okazji sprawdzić metodę logowania.
• Automatyzacje no-code – integracje w rodzaju n8n czy własnych skryptów często korzystają z tokenów, bo są prostsze do wpisania niż certyfikat; więcej o trwalszej konfiguracji w artykule o automatyzacji KSeF w n8n.
• Firmy z kilkoma spółkami – każdy NIP ma osobną metodę logowania, więc migracja to tyle samo kroków, ile firm w portfelu.
• Każdy, kto skonfigurował integrację przed czerwcem 2026 – zanim ruszyły konsultacje opisane wyżej, certyfikat był nowością, więc token był wtedy jedyną znaną, sprawdzoną opcją.

Jeśli którykolwiek z tych scenariuszy dotyczy Twojej firmy, warto sprawdzić metodę logowania teraz, a nie w grudniu – kiedy o certyfikat będzie się ubiegać jednocześnie duża część rynku. Automatyczne pobieranie faktur z KSeF działa identycznie na obu metodach logowania, więc migracja nie zmienia niczego poza samym plikiem uwierzytelniającym.