Szafir 2.0 — jak zalogować się, podpisać dokument elektronicznie i rozwiązać problemy

Co to jest podpis kwalifikowany i po co Szafir

Podpis kwalifikowany to elektroniczny odpowiednik podpisu odręcznego – składany za pomocą certyfikatu kwalifikowanego (na karcie kryptograficznej lub w chmurze) i weryfikowany przez kwalifikowanego dostawcę usług zaufania. W Polsce dostawcy: KIR (Szafir), Certum (Asseco), EuroCert, CenCert, Sigillum (PWPW).

Szafir 2.0 to aplikacja od KIR do¹:

• Składania podpisu – podpisujesz PDF, XML, dowolny plik
• Weryfikacji podpisu – sprawdzasz, czy podpis na dokumencie jest ważny
• Szyfrowania plików – szyfrujesz dokument certyfikatem odbiorcy
• Znakowania czasem – dodajesz kwalifikowany znacznik czasu (dowód, kiedy podpisano)

Kiedy potrzebujesz podpisu kwalifikowanego

• Sprawozdania finansowe – e-sprawozdanie do KRS wymaga podpisu kwalifikowanego lub Profilem Zaufanym
• KSeF – autoryzacja w Krajowym Systemie e-Faktur
• JPK_VAT – wysyłka Jednolitego Pliku Kontrolnego do urzędu skarbowego
• Przetargi publiczne (e-zamówienia) – oferty w PZP wymagają podpisu kwalifikowanego
• Umowy elektroniczne – ważne prawnie jak podpis odręczny
• e-Doręczenia – autoryzacja skrzynki
• Akty notarialne elektroniczne – coraz częstsze w 2026

Jak zainstalować Szafir 2.0

Wymagania

• System: Windows 10 lub 11, macOS oraz Linux (obsługa przez bibliotekę PKCS#11) – aktualną listę wspieranych systemów dla Szafir 2.0 publikuje KIR w sekcji „Aplikacje i sterowniki”¹.
• Java: starsze wersje Szafir 2.0 wymagały osobno zainstalowanej Javy (JRE); nowsze kompilacje mają ją wbudowaną – sprawdź swoją wersję w menu „Pomoc → O programie”.
• Czytnik kart: USB czytnik kart kryptograficznych (dostarczany z certyfikatem) – np. HID Omnikey, ACR39T/ACR40T, SCR 3310 – sterowniki do pobrania w tej samej sekcji strony KIR¹.
• Karta kryptograficzna z certyfikatem kwalifikowanym (kupujesz od KIR lub innego kwalifikowanego dostawcy)

Instalacja krok po kroku

1. Pobierz Szafir 2.0 ze strony elektronicznypodpis.pl (oficjalna strona KIR) → sekcja „Aplikacje i sterowniki” → wybierz wersję dla Twojego systemu¹.
2. Uruchom instalator → next → next → zaakceptuj licencję → zainstaluj.
3. Podłącz czytnik kart USB do komputera.
4. Włóż kartę kryptograficzną do czytnika.
5. Uruchom Szafir 2.0 → aplikacja powinna wykryć kartę i certyfikat.

Sterowniki czytnika

Większość czytników działa „plug and play” na Windows 10/11 (sterowniki wbudowane). Jeśli czytnik nie jest rozpoznawany:

• Zainstaluj sterowniki ze strony producenta czytnika (np. HID Global → Downloads)
• Lub ze strony dostawcy certyfikatu (elektronicznypodpis.pl → Aplikacje i sterowniki¹)
• Na macOS: może wymagać sterowników od producenta karty (np. Middleware Gemalto/Thales)

Jak podpisać dokument w Szafir 2.0

1. Uruchom Szafir 2.0.
2. Kliknij „Podpisz” (Sign).
3. Wybierz plik do podpisania (PDF, XML, dowolny).
4. Wybierz typ podpisu:
   • PAdES – podpis wbudowany w PDF (odbiorca otwiera PDF i widzi podpis). Zalecany dla PDF.
   • XAdES – podpis w pliku XML (lub osobnym pliku .xades). Standard dla e-faktur, JPK, e-zamówień.
   • CAdES – podpis binarny (osobny plik .p7s). Uniwersalny, ale mniej czytelny.
5. Wybierz certyfikat z karty (Szafir wyświetli certyfikaty znalezione na karcie).
6. Wpisz PIN karty (4–8 cyfr, ustawiony przy zakupie certyfikatu).
7. Opcjonalnie: dodaj znacznik czasu (timestamp) – dowód, kiedy dokument został podpisany.
8. Kliknij „Podpisz”.
9. Gotowe – podpisany plik zapisuje się w tym samym katalogu (z przyrostkiem lub nowym rozszerzeniem).

PAdES vs XAdES vs CAdES – który wybrać?

Format	Plik wynikowy	Kiedy używać
PAdES	PDF z wbudowanym podpisem	Umowy, faktury, dokumenty do wysłania mailem – odbiorca otwiera PDF i widzi podpis
XAdES	XML (lub .xades obok pliku)	JPK_VAT, e-faktura, e-zamówienia, systemy urzędowe
CAdES	.p7s (osobny plik)	Dowolne pliki (nie-PDF, nie-XML), archiwizacja

Domyślnie: PAdES dla PDF, XAdES dla XML. Jeśli nie wiesz: PAdES – bo odbiorca otwiera normalnego PDF-a i widzi podpis bez dodatkowych narzędzi.

Jak zweryfikować podpis elektroniczny

1. Szafir 2.0 → „Weryfikuj” (Verify).
2. Wybierz podpisany plik.
3. Szafir sprawdzi: ważność certyfikatu, integralność dokumentu (czy nie był zmieniony po podpisie), ważność znacznika czasu.
4. Wynik: ✅ „Podpis ważny” lub ❌ „Podpis nieważny” (z opisem dlaczego).

Alternatywy do weryfikacji (bez Szafir):

• Adobe Acrobat Reader – otwiera PDF z PAdES i pokazuje panel podpisu (ważność, certyfikat, timestamp)
• weryfikacjapodpisu.pl – niezależny system do weryfikacji podpisów elektronicznych w formatach PAdES, XAdES, CAdES i ASiC, a także podpisu zaufanego³
• gov.pl – w usłudze „Podpisz dokument elektronicznie” sprawdzisz też, kto podpisał dokument podpisem zaufanym²
• Szafir SDK / ProCertum SmartSign – inne aplikacje dostawców certyfikatów

Najczęstsze problemy i rozwiązania

„Nie znaleziono karty” / „No card detected”

• Czytnik nie podłączony – sprawdź USB, spróbuj inny port
• Karta źle włożona – chip musi być skierowany we właściwą stronę (zwykle do góry)
• Brak sterowników czytnika – zainstaluj ze strony producenta
• Karta uszkodzona – spróbuj w innym czytniku. Jeśli nigdzie nie działa → skontaktuj się z dostawcą certyfikatu

„Certyfikat wygasł”

Certyfikaty kwalifikowane mają zwykle ważność 1 lub 2 lata. Po wygaśnięciu: nie możesz podpisywać nowych dokumentów. Odnowienie: kontakt z dostawcą (KIR, Certum) → nowy certyfikat na istniejącą kartę lub nowa karta.

Dokumenty podpisane ważnym certyfikatem pozostają ważne nawet po wygaśnięciu certyfikatu – o ile miały znacznik czasu (timestamp) z momentu podpisu.

„Błąd Java” / „Java not found”

Starsze wersje Szafir 2.0 wymagają Javy. Jeśli błąd:

• Zainstaluj/aktualizuj Java: java.com/download → pobierz najnowszą JRE
• Sprawdź, czy masz najnowszą wersję Szafira – nowsze kompilacje mają wbudowaną własną Javę i nie wymagają osobnej instalacji
• Na macOS: Apple blokuje starą Javę – użyj OpenJDK: brew install openjdk

„PIN zablokowany”

Po kilku (zwykle 3, zależnie od karty) błędnych próbach PIN – karta się blokuje. Odblokowanie: użyj PUK (kod odblokowania dostarczony z kartą). Jeśli PUK też zablokowany → wizyta u dostawcy certyfikatu (nowa karta).

Podpis nie jest rozpoznawany przez odbiorcę

Przyczyny:

• Odbiorca otwiera PDF w przeglądarce (nie Acrobat) – przeglądarki nie zawsze weryfikują podpisy PAdES. Rozwiązanie: „otwórz w Adobe Acrobat Reader”.
• Brak certyfikatu root KIR w systemie odbiorcy – rzadkie na Windows (Windows Trust Store ma polskie CA). Na macOS/Linux: może wymagać ręcznego dodania.
• Użyto CAdES zamiast PAdES – odbiorca dostaje osobny plik .p7s i nie wie co z nim zrobić. Rozwiązanie: używaj PAdES dla PDF-ów.

Podpis kwalifikowany vs Profil Zaufany vs podpis osobisty – różnice

Cecha	Podpis kwalifikowany (Szafir)	Profil Zaufany (ePUAP)	Podpis osobisty (e-Dowód)
Moc prawna	= podpis odręczny	Ograniczona (administracja publiczna)	= podpis odręczny (od 2019)
Koszt	Płatny – cena zależy od dostawcy i długości ważności certyfikatu	Darmowy	Darmowy (w dowodzie)
Wymaga	Karta + czytnik + aplikacja (lub podpis w chmurze)	Konto na login.gov.pl	e-Dowód + czytnik NFC
Do czego	Wszystko (umowy, faktury, KSeF, przetargi)	Urzędy (ePUAP, ZUS PUE)	Administracja + niektóre usługi komercyjne
Dla firm	Tak (standard)	Ograniczony	Ograniczony

Jeśli potrzebujesz podpisu do wszystkiego (umowy, KSeF, przetargi, KRS) → podpis kwalifikowany (Szafir/Certum). Jeśli tylko do urzędów → Profil Zaufany (darmowy)⁴ – o zakładaniu konta i logowaniu przeczytasz w osobnym poradniku. e-Dowód z warstwą elektroniczną → rośnie w zastosowaniach, ale jeszcze nie wszędzie obsługiwany.

Podpis w chmurze – alternatywa bez karty

Od 2022 dostępne są podpisy kwalifikowane w chmurze – bez fizycznej karty i czytnika. Certyfikat jest przechowywany na serwerze dostawcy, autoryzacja przez aplikację mobilną (PIN + biometria).

• mSzafir (KIR) – podpis kwalifikowany w chmurze przez aplikację mobilną, u KIR dostępny też jako CloudSigner¹. Podpisujesz na komputerze → autoryzujesz na telefonie. Bez karty, bez czytnika.
• SimplySign (Certum/Asseco) – analogiczne rozwiązanie od Certum.
• EuroCert Cloud – podpis chmurowy od EuroCert.

Podpis w chmurze ma identyczną moc prawną jak podpis na karcie – jest kwalifikowany. Wygodniejszy (bez czytnika, działa z telefonu), ale wymaga stałego internetu (bo certyfikat jest na serwerze, nie na karcie).

Ile kosztuje podpis kwalifikowany

Dokładna cena zależy od dostawcy, długości ważności certyfikatu (najczęściej 1 lub 2 lata) oraz tego, czy kupujesz sam certyfikat (odnowienie na istniejącą kartę), czy pełny zestaw startowy z kartą i czytnikiem – ten drugi wariant jest zawsze droższy niż samo odnowienie. Aktualny cennik Szafir 2.0 sprawdzisz bezpośrednio na elektronicznypodpis.pl¹, bo ceny w tej branży zmieniają się w ciągu roku i różnią się między dostawcami (KIR, Certum, EuroCert).

Podpis w chmurze (mSzafir, SimplySign) bywa tańszym startem, bo nie wymaga zakupu karty ani czytnika – płacisz właściwie tylko za sam certyfikat.

Dla firmy koszt certyfikatu kwalifikowanego jest kosztem uzyskania przychodu (KUP).

Źródła

Zweryfikowano: wrzesień 2026

Wymagania i instalację Szafira sprawdziliśmy na stronie KIR, a sposoby weryfikacji podpisu – na gov.pl i w niezależnym systemie weryfikacji.

1. Aplikacje i sterowniki – Podpis elektroniczny SzafirDokumentacjaKIRelektronicznypodpis.pl
2. Podpisz dokument elektronicznie – wykorzystaj podpis zaufanyUrządPortal Gov.plgov.pl
3. Weryfikacja podpisu elektronicznegoDokumentacjaWeryfikacjaPodpisu.plweryfikacjapodpisu.pl
4. Profil zaufany – strona głównaUrządPortal Gov.plgov.pl