Después de cerrar el contenido y congelar la versión, nunca antes. Si el archivo se regenera o se exporta de nuevo tras el cálculo, el sello deja de coincidir con el documento que circula. La secuencia práctica es: contenido cerrado, versión congelada, firma capturada y luego hash sobre ese archivo final.