1. Opis ogólny
2. Uprawnienia KSeF a uprawnienia Trawersa
3. Model komunikacji Trawers ERP <--> KSeF
4. Generowanie Certyfikatów KSeF
5. Dopisywanie Certyfikatów KSeF w Trawers ERP
6. Tematy powiązane
1. Opis ogólny
Certyfikat KSeF to cyfrowe narzędzie kryptograficzne potwierdzające tożsamość osoby lub podmiotu.
Wydawany jest przez Centrum Certyfikacji Ministerstwa Finansów.
Dotyczy tylko środowiska KSeF.
Wykorzystuje kryptografię asymetryczną: parę kluczy: prywatny i publiczny.
Umożliwia automatyzację komunikacji z KSeF.
Trawers automatycznie podpisuje certyfikatem żądanie autoryzacyjne dostępu do KSeF.
Certyfikaty KSeF zawierają zawsze tożsamość, którą się uwierzytelniliśmy, aby je wygenerować.
Jeżeli uwierzytelnimy się pieczęcią, to będą zawierały tożsamość z tej pieczęci czyli NIP.
Zatem po uwierzytelnieniu się takim certyfikatem będziemy zawsze mieli pełne uprawnienia właścicielskie.
Z pieczęci nie możemy wygenerować innego certyfikatu niż właścicielski (z naszym NIP).
Jeżeli uwierzytelnimy się Profilem Zaufanym lub Podpisem Kwalifikowanym, to będą zawierały naszą tożsamość czyli PESEL.
Zatem po uwierzytelnieniu się takim certyfikatem będziemy mieli uprawnienia zależne od kontekstu:
- w przypadku JDG lub osoby wskazanej w ZAW-FA będą to pełne uprawnienia właścicielskie,
- w przypadku osób pozostałych, uprawnienia będą takie jakie im nadano
Uprawnień w KSeF nie nadajemy 'na certyfikat' ale na tożsamość: NIP lub PESEL.
Zatem, aby na poziomie KSeF zróżnicować uprawnienia, to trzeba je nadać na różne tożsamości,
np.
- Pracownik AA (PESEL 111..) : tylko pobieranie faktur
- Pracownik BB (PESEL 222..) : tylko wystawianie faktur
- Pracownik CC (PESEL 333..) : tylko wystawianie faktur
- Biuro rachunkowe (NIP 444..) : pobieranie i wystawianie faktur
itd.
Wtedy pracownicy muszą uwierzytelniać się w naszym KSeF certyfikatami ze swoim PESEL.
Musimy też wtedy pamiętać, aby odwołać w KSeF uprawnienia dla danego PESEL,
gdy kończymy współpracę z danym pracownikiem.
2. Uprawnienia KSeF a uprawnienia Trawersa
Niezależnie od uprawnień KSeF można też wykorzystać obecne uprawnienia Trawersa,
aby ograniczyć dostęp operatorów do KSeF.
Wykorzystać można uprawnienia do funkcji oraz uprawnienia do Certyfikatów KSeF,
np.
- Pracownik AA ma uprawnienia tylko do modułu ZO, w tym do Panelu KSeF (pobieranie faktur z KSeF)
- Pracownik BB ma uprawnienia tylko do modułu NA (wystawianie faktur i wysyłanie do KSeF)
- Pracownik CC ma uprawnienia tylko do modułu NA do Panelu KSeF (wysyłanie faktur do KSeF)
- Pracownik DD ma uprawnienia tylko do modułu NA (nie ma przypisanego Certyfikatu KSeF, czyli nie połączy się z KSeF)
Wówczas może być wystarczający dla wszystkich jeden Certyfikat KSeF utworzony z pieczęci z NIP,
bo uprawnienia Trawersa skutecznie ograniczą dostęp do funkcji KSeF z poziomu Trawersa.
Patrz też:
Uprawnienia operatorów (role)
3. Model komunikacji Trawers ERP <--> KSeF
W Trawers ERP możliwe są dwa modele komunikacji z KSeF - automatyczna i ręczna.
Automatyczna - mechanizm Autorun. Okresowo łączy się z KSeF, aby pobrać i wysłać faktury.
działa za pomocą operatora wirtualnego (podobnie jak e-mail)
Ręczna - zalogowany operator bezpośrednio inicjuje proces pobierania lub wysyłania faktur z/do KSeF
(Panel KSeF, wystawianie faktur w NA i wysyłka do KSeF)
1) Pobieranie faktur z KSeF (ZO):
a) Automatyczne (Autorun) - tak jak odbieranie poczty e-mail, czy pobieranie kursów walut.
Odbywa się okresowo, całkowicie w tle (np. co 10 min.). Jest używany wirtualny operator, np. EE.
Ten operator może mieć przypisany certyfikat KSeF utworzony z pieczęci (pełne uprawnienia w KSeF),
bo Trawers ogranicza jego działanie tylko do funkcji pobierania faktur z KSeF.
b) Ręczne: w ZO > Panel KSeF:
Operator, który ma dostęp do tej funkcji (np. AA), może pobrać faktury z KSeF.
Ten operator może mieć przypisany certyfikat KSeF utworzony z pieczęci (pełne uprawnienia w KSeF),
bo Trawers ogranicza jego działanie tylko do funkcji pobierania faktur z KSeF.
2) Wysyłanie faktur do KSeF (NA):
a) Okresowo - automatycznie w tle, np. raz lub kilka razy dziennie.
Jest używany wirtualny operator, np. WW.
Ten operator może mieć przypisany certyfikat KSeF utworzony z pieczęci (pełne uprawnienia w KSeF),
bo Trawers ogranicza jego działanie tylko do funkcji wysyłania faktur do KSeF.
b) Natychmiastowe - bezpośrednio przez operatora wystawiającego fakturę.
Ten operator może mieć przypisany certyfikat KSeF utworzony z pieczęci (pełne uprawnienia w KSeF),
bo Trawers ogranicza jego działanie tylko do funkcji wysyłania faktur do KSeF.
4. Generowanie Certyfikatów KSeF
Generowanie certyfikatów KSeF Należy wykonać w Aplikacji Podatnika:
a) dla środowiska testowego
https://ap-test.ksef.mf.gov.pl/web/
Wybierz sposób logowania: 'Uwierzytelnienie testowe'
Wprowadź kontekst logowania
- Identyfikator: NIP firmy
- NIP firmy: <podać NIP>
Podpisz testowe żądanie autoryzacyjne
- Typ identyfikatora: Pieczęć NIP
- Numer NIP: <podaj NIP>
b) dla środowiska demo i produkcyjnego
https://ap-demo.ksef.mf.gov.pl/web/login
https://ap.ksef.mf.gov.pl/web/login
Wymagana jest rzeczywista autoryzacja przy użyciu Profilu Zaufanego,
Podpisu Kwalifikowanego lub Pieczęci NIP.
Należy dopisać certyfikaty typu Uwierzytelnienie oraz Podpis linku.
Zapisać hasła klucza prywatnego oraz numery seryjne.
Skopiować pobrane pliki: klucza prywatnego (*.key) i certyfikatu (*.crt)
do katalogu operatora w trinout
5. Dopisywanie Certyfikatów KSeF w Trawers ERP
!!! Do testów KSeF należy utworzyć kopię roboczą Trawersa !!!
!!! lub użyć wersję demonstracyjną !!!
AD > Parametry AD > Korekta [AD_TPA20]
Środowisko KSeF [T] Testowe / Demo / Produkcyjne
Dopisać w: JP > KSeF > Tabele > Certyfikaty KSeF
o-- Certyfikaty KSeF [AD_TCE01] --------------------------------------------[X]o
| |
| Środowisko T [test] |
| |
| Typ U Uwierzytelnienie |
| |
| Symbol 000001 |
| Nazwa Certyfikat 1 |
| |
| Kontekst NIP 9580970167 <-- NIP z karty firmy |
| |
| Status A Aktywny (Active) |
| Ważny 2025.12.12 - 2027.12.12 |
| Nr seryjny 1234... |
| Certyfikat <plik *.crt z trinout\xx> |
| Klucz prywatny <plik *.key z trinout\xx> |
| Hasło klucza prywatnego xxxxxxxxxxxxxxx |
| |
o------------------------------------------------------------------------------o
| F2/3-wybór z listy |
o------------------------------------------------------------------------------o
Kontekst logowania do KSeF
W Trawers kontekstem logowania do KSeF może być NIP lub Identyfikator wewnętrzny (IDWew, InternalId).
Kontekst jest pobierany z karty firmy.
Jeśli wypełniono pole IDWew, to kontekstem będzie Identyfikator wewnętrzny podany w polu IDWew.
Jeśli pole IDWew jest puste to kontekstem będzie NIP.
IDWew nie musi być związane z JST lub GV. Może identyfikować np. oddział.
Na liście certyfikatów powiązać operatorów z certyfikatem: F3-operatorzy
Jeden operator może być przypisany tylko do jednego certyfikatu.
Do jednego certyfikatu może być przypisanych wielu operatorów.
Aby przetestować certyfikat można użyć funkcji:
F2-menu: Zaloguj do KSeF certyfikatem operatora
Informacje dodatkowe:
a) Pytania i odpowiedzi MF w sekcji [Uprawnienia i autoryzacja] oraz [Certyfikaty KSeF]
https://ksef.podatki.gov.pl/pytania-i-odpowiedzi-ksef-20/
b) Podręcznik KSeF 2.0 cz. I rozpoczęcie korzystania z KSeF
Tam jest opis wielu przypadków, gdy certyfikat z NIP lub z PESEL.
https://ksef.podatki.gov.pl/pliki-do-pobrania-ksef-20/
c) https://ksef.podatki.gov.pl/informacje-ogolne-ksef-20/certyfikaty-ksef