Jak działa logowanie profilem zaufanym?

Logowanie profilem zaufanym to elektroniczne potwierdzenie tożsamości, a nie przekazywanie hasła bankowego urzędowi. Serwis administracji, na przykład login.gov.pl, prosi dostawcę tożsamości – często bank – o potwierdzenie, że jesteś osobą wskazaną w profilu. Bank przekazuje potwierdzenie, nie dane logowania ani informacje o rachunku.

Czym jest logowanie profilem zaufanym?

Profil Zaufany jest środkiem identyfikacji elektronicznej. Można traktować go jak cyfrowy dokument tożsamości używany w kontaktach z administracją publiczną. Pozwala potwierdzić, kim jesteś, gdy korzystasz z usług takich jak ePUAP, PUE ZUS, Internetowe Konto Pacjenta czy e-Urząd Skarbowy.

W praktyce profil działa jak cyfrowy klucz przypisany do konkretnej osoby. Zawiera dane pozwalające ją zidentyfikować, między innymi imię, nazwisko, datę urodzenia i numer PESEL. Samo logowanie nie oznacza jeszcze podpisania wniosku ani wyrażenia zgody na konkretną czynność.

Jak działa wymiana potwierdzenia między bankiem a urzędem?

Gdy wybierasz logowanie profilem zaufanym w serwisie urzędowym, system nie przekazuje Twojej przeglądarki bezpośrednio do urzędu z hasłem bankowym. Zwykle pośredniczy w tym bezpieczna bramka, taka jak login.gov.pl. To ona koordynuje wymianę informacji między serwisem urzędowym a wybranym dostawcą tożsamości.

Bank pełni w tym procesie rolę potwierdzającego tożsamość. Sprawdza Cię we własnym systemie, korzystając z normalnej procedury logowania i dodatkowej autoryzacji, a następnie przekazuje systemowi administracji informację, że tożsamość została potwierdzona. Nie wysyła urzędowi Twojego hasła, loginu do bankowości elektronicznej ani danych dotyczących rachunku.

Technicznie można opisać to jako wymianę potwierdzeń lub tokenów tożsamości. Serwis urzędowy otrzymuje informację potrzebną do utworzenia sesji użytkownika, ale nie przejmuje kontroli nad kontem bankowym. Po zakończeniu tej wymiany wracasz do pierwotnego serwisu już jako rozpoznany użytkownik.

Jak wygląda logowanie krok po kroku?

Poszczególne nazwy przycisków mogą się różnić w zależności od serwisu, ale kolejność zdarzeń zwykle wygląda tak:

1. Wybierasz w serwisie urzędowym opcję logowania profilem zaufanym albo dostawcę tożsamości, na przykład swój bank.
2. System przekierowuje Cię do login.gov.pl lub do bezpiecznej strony wybranego dostawcy.
3. Logujesz się w bankowości elektronicznej albo w profilu zaufanym i potwierdzasz operację wymaganym sposobem, na przykład kodem SMS lub w aplikacji bankowej.
4. Dostawca tożsamości potwierdza systemowi, że Twoje dane zostały zweryfikowane.
5. Wracasz do serwisu urzędowego, który otwiera Twoją sesję i przypisuje ją do właściwego konta użytkownika.

To, że po zalogowaniu widzisz swoje dane w serwisie urzędowym, wynika z potwierdzenia tożsamości przekazanego przez system. Nie oznacza, że urząd uzyskał dostęp do bankowości elektronicznej.

Logowanie a podpisywanie dokumentu – jaka jest różnica?

Uwierzytelnianie i autoryzacja to dwa odrębne etapy. Logowanie potwierdza, że korzystasz z systemu jako konkretna osoba. Podpisywanie oznacza zatwierdzenie określonego dokumentu, wniosku lub dyspozycji.

Dlatego samo wejście na konto nie podpisuje automatycznie przygotowanego wniosku. Podpis zaufany jest osobną funkcją Profilu Zaufanego. W kontaktach z podmiotami publicznymi może zastępować podpis własnoręczny, jeśli dana usługa dopuszcza taką formę.

Czy logowanie profilem zaufanym jest bezpieczne?

Bezpieczeństwo opiera się na rozdzieleniu ról. Bank potwierdza tożsamość w swoim środowisku, a urząd obsługuje sprawę, do której się logujesz. Najważniejsze elementy tego modelu to:

• Brak przekazywania haseł – hasło do bankowości elektronicznej pozostaje w systemie banku i nie trafia do serwisu urzędowego.
• Szyfrowana komunikacja – wymiana informacji między uczestniczącymi systemami odbywa się za pośrednictwem zabezpieczonych połączeń.
• Dodatkowa autoryzacja – ważne operacje mogą wymagać kodu SMS, zatwierdzenia w aplikacji lub innego środka używanego przez bank.
• Ograniczony zakres informacji – urząd otrzymuje dane potrzebne do identyfikacji użytkownika, a nie dostęp do rachunku i całej bankowości elektronicznej.

Ostrzeżenie: urząd nigdy nie powinien prosić Cię o podanie hasła do bankowości elektronicznej na swojej stronie. Hasło wpisuj wyłącznie w oficjalnym serwisie banku lub w oficjalnym mechanizmie logowania dostawcy tożsamości.

Przed zatwierdzeniem sprawdź adres strony i treść komunikatu autoryzacyjnego. Nie udostępniaj nikomu loginu, hasła ani kodu jednorazowego, nawet jeśli osoba podaje się za urzędnika lub pracownika banku.

Logowanie profilem zaufanym polega więc na potwierdzeniu tożsamości przez zaufanego dostawcę, a nie na współdzieleniu danych dostępowych. Bank i administracja publiczna wymieniają tylko informacje potrzebne do obsługi danej sesji, zachowując rozdzielenie danych bankowych od urzędowych.