Instrukcja zakupu pieczęci kwalifikowanej Szafir (KIR) i konfiguracji e-Doręczeń

Dla podmiotów niepublicznych (firmy z KRS)

1. Co jest potrzebne – podsumowanie

Wymagania wstępne

Co kupujemy?

Kwalifikowaną pieczęć elektroniczną Szafir (KIR) – wariant z CSR (żądaniem certyfikatu).

Czego NIE kupować

Krok 1 – Wygenerowanie klucza prywatnego w aplikacji Sekretariat

1. Otwórz aplikację Sekretariat
2. Przejdź do: Administracja → Opcje→ Parametry programu → Skrzynka e-Doręczeń (lub utwórz nową skrzynkę)
3. Kliknij przycisk „Generuj klucz prywatny”
4. Aplikacja wygeneruje klucz RSA 4096-bit – pojawi się w polu „Klucz prywatny”
5. Kliknij „Zapisz” – klucz zostanie bezpiecznie zaszyfrowany i zapisany w bazie danych

Krok 2 – Wygenerowanie żądania certyfikatu (CSR)

Po zapisaniu ponownie wchodzimy do dodanej skrzynki i Generujemy CSR. Musimy być pewni że klucz jest zapisany w bazie warto go skopiować i zapisać w bezpiecznym miejscu.

1. W tym samym formularzu kliknij przycisk „Generuj CSR”
2. Wypełnij formularz danymi firmy:

3. Kliknij „Generuj” – pojawi się okno zapisu pliku
4. Zapisz plik CSR na dysku, np. C:\Certyfikaty\csr_edoreczenia.pem

Krok 3 – Podpisanie CSR podpisem kwalifikowanym

CSR musi zostać podpisany kwalifikowanym podpisem elektronicznym osoby uprawnionej do reprezentacji firmy wg KRS (prezes, członek zarządu, prokurent).

Instrukcja podpisania (na przykładzie aplikacji Szafir):

1. Otwórz aplikację do podpisywania dokumentów (np. Szafir, proCertum SmartSign, SimplySign Desktop)
2. Wybierz plik CSR (csr_edoreczenia.pem) do podpisu
3. W ustawieniach podpisu ustaw:
   • Format podpisu: CAdES (PKCS#7)
   • Typ podpisu: zewnętrzny lub otaczający (preferowany otaczający)
   • Zaznacz opcję: „Zapisz dane podpisane z podpisem” (dane + podpis w jednym pliku)
     
4. Podłóż token USB / kartę z podpisem kwalifikowanym
5. Podpisz plik – wprowadź PIN
6. Zapisz podpisany plik – powstanie plik z rozszerzeniem .sig lub .p7s, np. csr_edoreczenia.pem.sig

Krok 4 – Zakup pieczęci Szafir w KIR

Ścieżka A: Online (wymaga podpisu kwalifikowanego)

1. Wejdź na stronę KIR: https://www.elektronicznypodpis.pl/produkty/pieczec-elektroniczna-szafir,191
2. Wybierz produkt: Pieczęć elektroniczna kwalifikowana z wgraniem żądania CSR online (wariant z CSR)
   
3. Wybrać opcję Nowy zestaw, jeśli pieczęć kupujesz po raz pierwszy. Proszę nie zaznaczać opcji Certyfikat do PSD2.
4. Kliknąć Dodaj do koszyka,
5. Przejść do koszyka i kliknąć Złóż zamówienie.
   
6. Wypełnij formularz zamówienia danymi firmy (NIP, KRS, dane adresowe)
7. Przejść w dół do sekcji Dane do certyfikatu pieczęci elektronicznej i uzupełnić dane zgodnie z potrzebami Twojej organizacji oraz zgodnie z danymi przekazanymi w żądaniu CSR.
8. Przejść niżej do ostatniej sekcji – jej wersje mogą się różnić w zależności od wyboru wersji certyfikatu.
   • Certyfikat online: Wgram żądanie PKCS#10 – w tym kroku należy przesłać żądanie CSR w postaci pliku o rozszerzeniu .sig, który został podpisany kwalifikowanym podpisem.
   • Certyfikat w placówce KIR: Dostarczę żądanie PKCS#10 do placówki KIR – w tym kroku należy wybrać oddział, do którego zostanie dostarczone żądanie certyfikatu CSR.
9. Przejść do kroku 2 – Dane do zamówienia, a następnie do kroku 3 – Podsumowanie i płatność. W ramach wspomnianych kroków wykonać niezbędne działania opisane na stronie
10. Opłać zamówienie
11. KIR zweryfikuje dane i wyda certyfikat – zwykle w ciągu 2-3 dni roboczych
12. Otrzymasz certyfikat pieczęci w formacie .pem lub .crt – na email lub do pobrania z portalu KIR

Ścieżka B: Wizyta osobista w placówce (NIE wymaga podpisu kwalifikowanego)

Jeśli osoba uprawniona nie posiada podpisu kwalifikowanego:

1. Przygotuj:
   • Plik CSR na pendrive (csr_edoreczenia.pem – niepodpisany, bez .sig)
   • Dowód osobisty osoby uprawnionej (prezes/prokurent)
   • Dane firmy (NIP, KRS)
2. Osoba uprawniona udaje się osobiście do jednej z placówek:
   • 12 placówek KIR w największych miastach Polski
   • 740+ oddziałów banków spółdzielczych współpracujących z KIR
   • Lista placówek: https://www.elektronicznypodpis.pl/informacje/gdzie-kupic/
3. W placówce:
   • Wypełnij formularz zamówienia
   • Przekaż CSR z pendrive
   • Potwierdź tożsamość dowodem osobistym
4. Otrzymasz certyfikat pieczęci – zwykle w ciągu 2-3 dni roboczych (na email lub do pobrania)

Krok 5 – Rejestracja systemu na portalu e-Doręczeń

Po otrzymaniu certyfikatu pieczęci (plik .pem lub .crt) od KIR:

1. Zaloguj się na portal: https://edoreczenia.gov.pl
2. Przejdź do: Uprawnienia → Systemy zewnętrzne
3. Kliknij „Dodaj system zewnętrzny”
4. Wypełnij dane:

5. Wgraj plik certyfikatu pieczęci (plik .pem lub .crt otrzymany od KIR)

6. Zatwierdź – system zostanie zarejestrowany
7. Zanotuj/skopiuj:
   • Nazwę systemu (dokładnie tak jak wpisałeś)
   • Adres ADE skrzynki

Krok 6 – Konfiguracja w aplikacji Sekretariat

1. Otwórz aplikację Sekretariat
2. Przejdź do: Administracja → Skrzynka e-Doręczeń
3. Uzupełnij pola konfiguracyjne:

Adresy środowiska integracyjnego (testowego):

4. Kliknij „Zapisz”

Krok 7 – Test połączenia

1. W formularzu konfiguracji skrzynki kliknij przycisk „Sprawdź połączenie”
2. Jeśli konfiguracja jest poprawna, zobaczysz komunikat:
   • „Token aktywny: True” oraz pozostały czas ważności tokena
3. Checkbox „Aktywna” zostanie automatycznie zaznaczony

Jeśli test się nie powiódł – sprawdź:

FAQ – Najczęściej zadawane pytania

1. Czy muszę mieć podpis kwalifikowany?

Nie koniecznie. Jeśli osoba uprawniona (prezes/prokurent) nie posiada podpisu kwalifikowanego, może zakupić pieczęć osobiście w placówce KIR z dowodem osobistym (Ścieżka B).

2. Czy mogę użyć pieczęci od innego dostawcy niż KIR?

Tak. Pieczęć kwalifikowaną z CSR oferują też Certum i inni dostawcy. Procedura jest analogiczna – generujesz CSR w aplikacji i wysyłasz do dostawcy.

3. Co się stanie po roku, gdy certyfikat wygaśnie?

Należy odnowić certyfikat u dostawcy (KIR). Klucz prywatny w aplikacji pozostaje ten sam – wystarczy wgrać nowy certyfikat na portal e-Doręczeń.

4. Czy klucz prywatny jest bezpieczny?

Tak. Klucz prywatny:

• Jest generowany lokalnie w aplikacji Sekretariat
• Jest przechowywany w bazie danych w formie zaszyfrowanej
• Nigdy nie jest wysyłany na zewnątrz – do KIR wysyłamy tylko CSR (zawiera wyłącznie klucz publiczny)
• Na portal e-Doręczeń wgrywamy tylko certyfikat (klucz publiczny)

5. Czy mogę mieć jedną pieczęć na kilka systemów?

Nie. Każdy system zewnętrzny na portalu e-Doręczeń wymaga osobnego certyfikatu (osobnego CSR i pieczęci).

6. Jaka jest różnica między pieczęcią a QWAC?

7. Mam już pieczęć w formacie PFX/P12 – co zrobić?

Jeśli firma posiada pieczęć kwalifikowaną w formacie PFX/P12 (np. od Certum), należy wyeksportować klucz prywatny do formatu PEM:

openssl pkcs12 -in pieczec.pfx -nocerts -nodes -out klucz.pem

Następnie wklej zawartość pliku klucz.pem do pola „Klucz prywatny” w aplikacji Sekretariat i kontynuuj od Kroku 5.

Schemat procesu – podsumowanie

┌─────────────────────────────────────────────────────────────────┐
│                    APLIKACJA SEKRETARIAT                        │
│                                                                 │
│  [1] Generuj klucz prywatny RSA 4096-bit ──→ zapisz w bazie   │
│  [2] Generuj CSR ──→ zapisz plik .pem na dysku                │
│                                                                 │
└────────────────────────────┬────────────────────────────────────┘
                             │
                             ▼
┌─────────────────────────────────────────────────────────────────┐
│                    OSOBA UPRAWNIONA (Prezes/Prokurent)          │
│                                                                 │
│  [3] Podpisz CSR podpisem kwalifikowanym (CAdES) ──→ plik.sig │
│      LUB przygotuj CSR na pendrive (jeśli wizyta osobista)     │
│                                                                 │
└────────────────────────────┬────────────────────────────────────┘
                             │
                             ▼
┌─────────────────────────────────────────────────────────────────┐
│                    KIR (Szafir)                                 │
│                                                                 │
│  [4] Zamów pieczęć:                                            │
│      • Online: wgraj podpisany CSR + formularz                 │
│      • Placówka: wizyta osobista z dowodem + CSR               │
│  ──→ Otrzymaj certyfikat pieczęci (.pem/.crt) w 2-3 dni       │
│                                                                 │
└────────────────────────────┬────────────────────────────────────┘
                             │
                             ▼
┌─────────────────────────────────────────────────────────────────┐
│                    PORTAL E-DORĘCZEŃ                            │
│                    (edoreczenia.gov.pl)                         │
│                                                                 │
│  [5] Dodaj system zewnętrzny:                                  │
│      • Nazwa: SEKRETARIATASA                                   │
│      • Środek: „Kwalifikowany środek uwierzytelniający"        │
│      • Wgraj certyfikat pieczęci (.pem/.crt)                   │
│                                                                 │
└────────────────────────────┬────────────────────────────────────┘
                             │
                             ▼
┌─────────────────────────────────────────────────────────────────┐
│                    APLIKACJA SEKRETARIAT                        │
│                                                                 │
│  [6] Uzupełnij konfigurację:                                  │
│      • Nazwa systemu, Adres ADE, Auth URI, Audience, API URL   │
│      • Klucz prywatny już jest (z kroku 1)                     │
│  [7] Sprawdź połączenie ──→ Token aktywny: True                │
│                                                                 │
│  ✓ GOTOWE — e-Doręczenia działają                              │
└─────────────────────────────────────────────────────────────────┘