Płatnik błąd określono nieprawidłowy typ dostawcy – jak naprawić?

Komunikat „Określono nieprawidłowy typ dostawcy” w programie Płatnik najczęściej znika trwale po zmianie wartości klucza rejestru DisableCapiOverrideForRSA z 1 na 0 i restarcie komputera. Daje to stabilną naprawę błędu typu dostawcy przy podpisie kwalifikowanym i eliminuje konieczność codziennego ponownego rejestrowania certyfikatu w Windows 10 i 11. Jeśli chcesz przejść krok po kroku przez całą procedurę i poznać inne opcje w razie problemów, przeczytaj dalszą część poradnika.

Na czym polega błąd „określono nieprawidłowy typ dostawcy” w Płatniku?

Po październikowych aktualizacjach systemów Windows 10, Windows 11 i Windows Server w 2025 roku wielu użytkowników zauważyło, że program do wysyłki dokumentów do ZUS przestał poprawnie korzystać z podpisu kwalifikowanego. Podczas wysyłki deklaracji lub raportów w Płatniku lub przy podpisywaniu plików JPK pojawia się komunikat o nieprawidłowym typie dostawcy, który blokuje całą operację. W praktyce oznacza to, że system nie potrafi prawidłowo odwołać się do modułu obsługującego klucz prywatny i certyfikat na karcie lub w tokenie.

Błąd jest ściśle powiązany z działaniem modułu kryptograficznego w Windows i zmienionym sposobem obsługi dostawców usług kryptograficznych po wspomnianej aktualizacji. Dochodzi do konfliktu między zmianami wprowadzonymi przez Windows Update a oprogramowaniem dostawcy certyfikatu, co skutkuje komunikatem, że określono zły typ dostawcy. Nie jest to problem z samym certyfikatem – on zwykle pozostaje ważny i poprawnie zainstalowany – lecz z tym, jak system udostępnia klucz prywatny aplikacjom takim jak Płatnik.

Komentarz „błąd certyfikatu uniemożliwiający pracę” w Płatniku często wynika z konfliktu po aktualizacji Windows, a nie z uszkodzenia samego certyfikatu czy karty kryptograficznej.

Jakie objawy i komunikaty pojawiają się w systemie?

W trakcie pracy z podpisem kwalifikowanym użytkownik widzi zwykle tylko jeden, ale bardzo uciążliwy komunikat. W Płatniku, podczas próby wysyłki dokumentów do ZUS, w oknie podpisu albo w logach aplikacji pojawia się: „Określono nieprawidłowy typ dostawcy”. Czasem błąd występuje również przy podpisywaniu plików JPK w innych aplikacjach, bo ten sam mechanizm kryptograficzny obsługuje różne programy korzystające z tego samego certyfikatu.

W tle stoi ten sam problem – błąd klucza prywatnego związany z obsługą dostawców kryptograficznych w systemie. Dla użytkownika efekt jest prosty: nie można podpisać dokumentu, choć jeszcze dzień wcześniej wszystko działało, a certyfikat nadal widnieje w magazynie certyfikatów Windows. Nie ma konieczności jego fizycznego odtwarzania, ale bez zmiany konfiguracji system dalej będzie zgłaszał ten sam komunikat.

Skąd bierze się błąd po aktualizacji Windows?

Aktualizacje zbiorcze Windows – jak pakiet KB5066835 dla Windows 11 czy KB5066791 dla Windows 10 – wprowadzają zmiany w obszarze zabezpieczeń kryptograficznych. Po takiej aktualizacji część użytkowników zauważa, że system inaczej traktuje dostawców usług kryptograficznych, a w efekcie aplikacje korzystające z kart i tokenów przestają widzieć poprawny typ dostawcy. Właśnie wtedy pojawia się komunikat o nieprawidłowym typie.

Wielu dostawców oprogramowania podpisu sugeruje doraźne rozwiązania: reinstalację sterowników, zatrzymanie usługi „Propagacja certyfikatu” czy ponowną rejestrację certyfikatu po każdym uruchomieniu komputera. Takie działania pomagają tylko na chwilę, bo prawdziwa przyczyna nadal tkwi w konfiguracji modułu kryptograficznego Windows. Aby to wyeliminować, trzeba sięgnąć do odpowiedniego wpisu w rejestrze systemu.

Jak naprawić błąd w rejestrze Windows krok po kroku?

Trwałe rozwiązanie problemu dostawcy dla podpisu kwalifikowanego wymaga zmiany wartości klucza rejestru DisableCapiOverrideForRSA. Ta wartość decyduje o tym, czy system może nadpisywać ustawienia dostawców kryptograficznych przy obsłudze algorytmu RSA. Po aktualizacji przyjmuje ona najczęściej wartość 1, co powoduje konflikty, dlatego należy ją zmienić na 0.

Jak uruchomić Edytor rejestru?

Całą operację trzeba wykonać na koncie z uprawnieniami administratora, bo modyfikowana jest gałąź rejestru HKEY_LOCAL_MACHINE. Najpierw otwiera się edytor rejestru Windows, czyli standardowe narzędzie systemowe do pracy z konfiguracją zapisanymi w kluczach i wartościach. Nie wolno omijać uruchomienia jako administrator – inaczej zapis zmian się nie powiedzie, a Płatnik nadal będzie zgłaszał ten sam błąd.

W praktyce wygląda to tak: w pasku zadań w polu wyszukiwania wpisuje się „regedit”, a gdy system pokaże skrót „Edytor rejestru”, wybiera się go prawym przyciskiem myszy i używa opcji uruchomienia jako administrator. Jeśli na komputerze pracuje użytkownik bez uprawnień, system poprosi o hasło do konta z prawami administracyjnymi. Dopiero po jego podaniu można przejść dalej.

Jak znaleźć i zmienić klucz DisableCapiOverrideForRSA?

Po otwarciu edytora rejestru trzeba przejść do wskazanej przez Microsoft gałęzi. Służy do tego pasek adresu w górnej części okna, w którym wpisuje się pełną ścieżkę: Komputer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais. Wpisanie tej ścieżki i zatwierdzenie klawiszem Enter przenosi od razu do odpowiedniego klucza, bez konieczności ręcznego rozwijania gałęzi po kolei.

W prawym panelu widać listę wartości przypisanych do tej gałęzi. Wśród nich znajduje się wpis o nazwie DisableCapiOverrideForRSA. Należy wykonać dwukrotne kliknięcie tej pozycji lub użyć prawego przycisku myszy i wybrać „Modyfikuj”. W oknie edycji wartości w polu „Dane wartości” widnieje zwykle cyfra 1 – to właśnie ta wartość wywołuje konflikt. W miejsce „1” wpisuje się „0” i zatwierdza przyciskiem OK.

Zmiana wartości DisableCapiOverrideForRSA z 1 na 0 w gałęzi HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais usuwa konflikt dostawcy i trwale naprawia błąd typu dostawcy w Płatniku.

Co zrobić po zapisaniu zmian?

Zmiana wpisu rejestru zacznie działać dopiero po restarcie systemu. Wystarczy pojedynczy restart – nie trzeba powtarzać tej operacji przy każdym uruchomieniu. Po ponownym zalogowaniu możesz uruchomić Płatnika, wczytać dokumenty i spróbować ponownie je podpisać certyfikatem kwalifikowanym. Komunikat „Określono nieprawidłowy typ dostawcy” nie powinien pojawić się ponownie, a podpis przebiegnie standardowo.

Dla osób, które nie czują się pewnie w edycji rejestru, bywa udostępniany gotowy plik .reg zawierający tę zmianę. Taki plik – po dwukrotnym kliknięciu i zaakceptowaniu ostrzeżenia – sam wprowadza wartość DisableCapiOverrideForRSA = 0 i również wymaga tylko ponownego uruchomienia komputera. W obu wariantach efekt końcowy jest identyczny.

Jakie inne metody bywają podawane jako tymczasowe obejście?

Przed opublikowaniem rozwiązania opartego na zmianie wartości DisableCapiOverrideForRSA wielu producentów oprogramowania sugerowało doraźne kroki. Dla użytkownika wyglądało to na naprawę, ale w rzeczywistości problem wracał po każdym restarcie. Takie działanie ma sens tylko jako krótkie obejście, gdy nie ma możliwości od razu zmodyfikować rejestru.

Ponowna instalacja certyfikatu w systemie

Najczęściej rekomendowaną metodą było ponowne zarejestrowanie certyfikatu kwalifikowanego w magazynie certyfikatów Windows. Procedura polegała na usunięciu wpisu certyfikatu, a następnie ponownym jego imporcie przez kreator lub narzędzie dostawcy karty. Daje to efekt, że system „na chwilę” widzi poprawnie dostawcę i pozwala podpisać dokument. Po ponownym uruchomieniu komputera całą operację trzeba było jednak powtarzać.

To rozwiązanie marnuje czas użytkownika, zwłaszcza gdy podpisuje on dokumenty każdego dnia. Certyfikat fizycznie pozostaje poprawny, a jego codzienne rejestrowanie nie wnosi dodatkowego bezpieczeństwa – tylko maskuje konflikt z ustawieniem w rejestrze. Dopiero zmiana wartości DisableCapiOverrideForRSA sprawia, że rejestracja nie jest już konieczna przy każdym starcie systemu.

Zatrzymanie usługi „Propagacja certyfikatu”

Niektóre firmy – takie jak dostawcy kart kryptograficznych – proponowały na krótko wyłączenie usługi systemowej „Propagacja certyfikatu” (Certificate Propagation). Miało to ograniczyć konflikty między obsługą kart inteligentnych a przetwarzaniem certyfikatów przez system. W niektórych środowiskach rzeczywiście dawało to efekt, ale nie usuwało przyczyny konfliktu i bywało kłopotliwe, gdy ta usługa potrzebna była innym programom.

Zatrzymanie usługi ingeruje w mechanizm obsługi smartcard w Windows, co może wpływać na inne rozwiązania w firmie – logowanie na kartę, podpisywanie dokumentów w innych aplikacjach, integrację z urządzeniami zewnętrznymi. W porównaniu z prostą modyfikacją jednego wpisu rejestru jest to droga bardziej złożona i mniej przewidywalna.

Odinstalowanie problematycznej aktualizacji

Ostatnim pomysłem bywa całkowite usunięcie aktualizacji, która spowodowała błąd – na przykład pakietu KB5066835 na Windows 11 czy KB5066791 na Windows 10. Usunięcie aktualizacji cofa zmianę wprowadzaną przez Windows Update i w wielu przypadkach przywraca poprzednie działanie podpisu kwalifikowanego. Z drugiej strony obniża poziom bezpieczeństwa systemu, bo cofa łatki zabezpieczeń i poprawki błędów.

Taki krok ma sens tylko w sytuacji awaryjnej – gdy trzeba natychmiast wysłać pilne deklaracje, a nie można od razu modyfikować rejestru. Długoterminowo bezpieczniej jest zachować aktualny system z poprawkami i po prostu dostosować ustawienia kryptograficzne Windows poprzez zmianę wartości DisableCapiOverrideForRSA na 0.

Odinstalowanie aktualizacji KB5066835 lub KB5066791 rozwiązuje błąd, ale odbywa się kosztem aktualnych poprawek bezpieczeństwa – lepiej skorzystać z korekty ustawień w rejestrze.

Czy zmiana ustawień systemu wpływa na ochronę danych osobowych?

Podczas pracy z podpisem kwalifikowanym w Płatniku, przy wysyłce dokumentów do ZUS oraz przy obsłudze danych kontrahentów i pracowników, przetwarzasz dane osobowe w rozumieniu RODO (Rozporządzenie 2016/679). Wymusza to zachowanie szczególnej ostrożności przy każdej ingerencji w system, który te dane przetwarza. Sama zmiana wartości DisableCapiOverrideForRSA nie dotyka treści danych osobowych – modyfikuje sposób wywoływania dostawcy kryptograficznego, a nie zawartość plików czy baz danych.

Administratorzy danych, tacy jak spółki typu Bluesignal Sp. z o.o. w Łodzi, muszą działać w ramach RODO tak, aby zachować poufność, integralność i rozliczalność operacji na danych. Dotyczy to również sytuacji, gdy korygują ustawienia systemu operacyjnego, aby przywrócić poprawne działanie podpisu kwalifikowanego. Z punktu widzenia ochrony danych naprawa błędu typu dostawcy ma na celu utrzymanie ciągłości procesów – na przykład terminowej wysyłki deklaracji do ZUS – a nie zmianę zakresu przetwarzania danych.

Jak bezpiecznie pracować z rejestrem i podpisem kwalifikowanym?

Rejestr Windows jest newralgicznym elementem systemu, dlatego przy każdej zmianie warto zachować zdrowy rozsądek. Zanim zmienisz wpis DisableCapiOverrideForRSA, możesz wykonać eksport gałęzi HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais do pliku .reg, aby w razie pomyłki szybko wrócić do poprzedniego stanu. Taki plik zajmuje niewiele miejsca, a pozwala odtworzyć wcześniejszą konfigurację jednym kliknięciem.

W środowiskach firmowych dobrze jest też odnotować w dokumentacji systemowej, że wprowadzono zmianę ustawień kryptograficznych – z podaniem daty i użytkownika, który ją wykonał. To pomaga przy audytach bezpieczeństwa, przy ocenie zgodności z RODO oraz przy analizie ewentualnych problemów w przyszłości. Im większa organizacja, tym ważniejszy staje się jasny opis takich interwencji.

Sam podpis kwalifikowany warto testować nie tylko w Płatniku, ale też w innych aplikacjach, które korzystają z tego samego certyfikatu. Po zmianie DisableCapiOverrideForRSA opłaca się uruchomić kolejne narzędzie do podpisu i sprawdzić, czy również tam nie pojawia się już komunikat o błędzie. Jedna prosta korekta w rejestrze poprawia często działanie całego łańcucha aplikacji opartych na tym samym module kryptograficznym.