Certyfikaty KSeF: typ Authentication i Offline, jak je uzyskać i po co są firmie

Certyfikat KSeF to wewnętrzny certyfikat wydawany przez sam system. Nie jest kwalifikowany, ale KSeF honoruje go przy logowaniu, a przy fakturach offline potwierdza nim tożsamość wystawcy. Jedna ważna zasada z dokumentacji: każdy certyfikat ma tylko jeden typ, Authentication albo Offline. Certyfikatem do logowania nie wygenerujesz drugiego kodu QR na fakturze offline, a certyfikatem Offline się nie zalogujesz.

Dwa typy certyfikatów KSeF

Do czego służy KOD II i jak wygląda faktura offline, opisałem w tekście o trybie offline24.

Kto może złożyć wniosek o certyfikat

Wniosek składa się wyłącznie we własnym imieniu. Dane do certyfikatu KSeF pobiera się z certyfikatu użytego przy logowaniu, a ich zmiana powoduje odrzucenie wniosku. Logowanie musi odbyć się podpisem (XAdES): kwalifikowanym certyfikatem osoby fizycznej, pieczęcią firmową, Profilem Zaufanym albo istniejącym certyfikatem KSeF. Logowanie tokenem KSeF nie pozwala złożyć wniosku o certyfikat.

Limity certyfikatów

Limit wniosków jest wyższy: 300 dla NIP-u i 12 dla PESEL-u. Osoba fizyczna, która obsługuje kilka firm, szybko zużyje swoje 6 certyfikatów, jeśli dla każdej integracji robi nowy. Wtedy lepiej zaplanować, który certyfikat do czego służy, albo wystąpić o zwiększenie limitu na uzasadniony wniosek.

Unieważnienie i najczęstsze błędy

• Certyfikat unieważnia właściciel: przy wycieku klucza prywatnego, końcu używania albo zmianie w firmie. Unieważnionego nie da się przywrócić.
• Odrzucony certyfikat przy logowaniu to status 460, opisany w tekście o błędzie uwierzytelnienia. Najczęściej certyfikat wygasł albo jest typu Offline.
• Klucz prywatny certyfikatu trzymany w zwykłym pliku na serwerze sklepu to ryzyko. Powinien być w bezpiecznym magazynie, tak jak token KSeF.

Certyfikat KSeF czy podpis kwalifikowany w integracji

Podpis kwalifikowany należy do konkretnej osoby i zwykle leży na jej karcie albo w chmurze dostawcy, więc nie nadaje się do programu, który loguje się sam o trzeciej w nocy. Do takiej pracy służy certyfikat KSeF typu Authentication albo token KSeF. Certyfikat ma tę przewagę, że ma termin ważności i własny klucz prywatny, którego nie przesyła się nigdzie przy logowaniu. Token jest prostszy w konfiguracji. W obu przypadkach liczy się to, kto go wygenerował i jakie ma uprawnienia.

Ile certyfikatów potrzebuje firma

Osobny certyfikat dla każdego systemu daje jedną ważną korzyść: gdy jeden system trzeba odciąć, np. po wycieku klucza albo zakończeniu umowy z dostawcą, unieważniasz jego certyfikat, a reszta działa dalej.

Ważność i odnowienie certyfikatu

We wniosku można wskazać datę początku ważności, a bez niej certyfikat jest ważny od chwili wystawienia. Certyfikat ma też datę końca ważności, po której przestaje działać przy logowaniu i przy kodzie QR II. Najczęstszy scenariusz przestoju integracji to certyfikat, który wygasł w weekend. Dlatego w każdej integracji ustawiam przypomnienie kilka tygodni przed końcem ważności i procedurę wymiany bez przerwy w wysyłce: nowy certyfikat wydany i wgrany, zanim stary przestanie działać.

Na środowisku testowym KSeF można logować się certyfikatem samopodpisanym, więc certyfikat KSeF na TEST da się uzyskać bez podpisu kwalifikowanego. Na produkcji wniosek wymaga logowania podpisem, który identyfikuje Cię naprawdę: kwalifikowanym, pieczęcią firmową albo Profilem Zaufanym. To celowe ograniczenie: certyfikat KSeF ma reprezentować prawdziwą osobę albo firmę.

Źródła: certyfikaty KSeF i limity w dokumentacji Ministerstwa Finansów.