Certyfikaty i tokeny KSeF w SAP. Jak bezpiecznie nimi zarządzać?
Integracja z Krajowym Systemem e-Faktur (KSeF) wymaga nie tylko technicznego podłączenia do interfejsów Ministerstwa Finansów, ale również odpowiedzialnego zarządzania dostępem do tych usług. W centrum tego zagadnienia znajdują się dwa kluczowe elementy: certyfikaty kwalifikowane oraz tokeny dostępowe KSeF. Ich poprawne użycie, monitorowanie i odnowienie to fundament bezpiecznej i ciągłej pracy z fakturami elektronicznymi w SAP.
W tym artykule przedstawiamy, jak działa autoryzacja w KSeF, jakie są mechanizmy zarządzania certyfikatami i tokenami w SAP oraz jakie praktyki wdrożeniowe stosuje HAERGI, by zapewnić ciągłość i bezpieczeństwo integracji.
Certyfikaty i tokeny KSeF SAP. Rodzaje autoryzacji w KSeF – przegląd mechanizmów
Krajowy System e-Faktur obsługuje dwa główne tryby autoryzacji:
- certyfikat kwalifikowany lub niekwalifikowany (PEM) – wykorzystywany bezpośrednio do podpisywania żądań,
- token dostępowy – generowany w aplikacji KSeF i wykorzystywany przez systemy informatyczne (np. SAP) do komunikacji z API.
W praktyce wdrożeniowej preferowane jest wykorzystanie tokenu – z uwagi na:
- brak konieczności każdorazowego podpisywania operacji,
- możliwość utworzenia tokenu nieimiennego,
- łatwość rotacji i cofnięcia dostępu,
- prostszą automatyzację procesów w tle.
Dodatkowo do połączenia potrzebne są też dwa certyfikaty dostarczane przez KSeF: certyfikat do szyfrowania połączenia na poziomie HTTPS oraz certyfikat do samego szyfrowania danych XML.
Zarządzanie certyfikatami w SAP – transakcja STRUST
W rozwiązaniu HAERGI certyfikaty wykorzystywane w komunikacji z KSeF są rejestrowane w SAP za pomocą standardowej transakcji STRUST. Dział IT może:
- zaimportować nowy certyfikat (format PEM, CER, CRT),
- przypisać go do konkretnego partnera komunikacyjnego,
- ustawić ścieżkę zaufania (trust chain),
- monitorować daty ważności.
SAP automatycznie ostrzega o zbliżającym się terminie wygaśnięcia certyfikatu – to kluczowe dla zapewnienia ciągłości procesu wysyłki i odbioru faktur.
Generowanie tokenów dostępowych w aplikacji KSeF
Tokeny dostępowe generuje się w Aplikacji Podatnika Ministerstwa Finansów. W ramach jednego NIP można utworzyć wiele tokenów:
- dla różnych systemów (np. SAP, BI, integratorzy zewnętrzni),
- o różnych poziomach uprawnień (np. tylko do pobierania, tylko do wysyłki),
- z możliwością przypisania aliasów ułatwiających identyfikację.
Token zapisuje się jako ciąg znaków (string) i może być:
- przechowywany w konfiguracji systemu SAP (np. tabela konfiguracyjna),
- okresowo odnawiany przez administratora,
- w każdej chwili unieważniony w panelu KSeF.
Bezpieczne przechowywanie danych dostępowych w SAP
HAERGI wdrożyło rozwiązanie, które umożliwia:
- przechowywanie tokenów w zaszyfrowanej formie,
- kontrolę dostępu do danych logowania do KSeF w SAP,
- mechanizm testowania połączenia do KSeF przy pomocy zapisanego tokena.
Certyfikaty i tokeny KSeF w SAP. Monitoring, alerty i rotacja
W systemie wdrożonym przez HAERGI administrator może:
- monitorować status komunikacji z KSeF (błędy 401, 403, timeouty),
- ręcznie testować dostępność kanału KSeF w trybie interaktywnym,
- uruchomić proces rotacji tokena (stary – nowy, bez przerwy w pracy).
Najczęstsze błędy i konsekwencje ich zignorowania
Brak poprawnej autoryzacji prowadzi do:
- odrzucenia wysyłanych faktur,
- uniemożliwia pobranie faktur przychodzących,
- Uniemożliwia aktualizację statusów i pobranie numerów KSeF,
Typowe błędy:
- wygasły certyfikat z nieaktualną datą,
- token przypisany do innego NIP / użytkownika,
- brak uprawnień nadanych w aplikacji KSeF,
- błędna ścieżka w STRUST.
Dobre praktyki wdrożeniowe
- Powiązanie tokenu z aliasem i dokumentacja: łatwiejsze zarządzanie i rotacja.
- Procedura awaryjna: plan działania na wypadek błędów z połączeniem.
- Notyfikacje o błędach: automatyczne notyfikacje email o błędach połączenia.
- Szkolenie administratorów SAP: szczególnie w zakresie STRUST i logowania błędów autoryzacyjnych oraz komunikacyjnych.
Poprawne zarządzanie certyfikatami i tokenami w systemie SAP to warunek konieczny do utrzymania ciągłości komunikacji z KSeF. Rozwiązanie HAERGI daje możliwość pełnej kontroli nad procesem autoryzacji – od rejestracji certyfikatów po monitoring wygaśnięcia tokenów.
Dzięki temu możliwe jest nie tylko spełnienie obowiązków prawnych, ale też minimalizacja ryzyk operacyjnych i podatkowych.
Wdrożenie procedur i automatyzacji w obszarze dostępu do KSeF – aktualne tokeny, sprawdzone certyfikaty, stałe alerty – to dziś fundament każdej odpowiedzialnej integracji ERP z Krajowym Systemem e-Faktur.
KSeF · KSeF SAP · e-Faktura · Krajowy System e-Faktur · KSeF · SAP