Image digest
Een cryptografische hash (SHA-256) die een exact containerimage uniek en onveranderlijk identificeert. Anders dan een tag (die naar nieuwe inhoud kan worden verplaatst) wijst een digest altijd naar precies dezelfde bytes — de basis voor reproduceerbare en veilige deploys.
Probleem: een tag als :latest of :v1.2 is een veranderlijke naam — hij kan ongemerkt naar een nieuw image worden verplaatst (iemand pusht dezelfde tag opnieuw), zodat twee deploys van "dezelfde" tag verschillende inhoud kunnen geven. Een digest (image@sha256:abc123...) wordt berekend uit de inhoud van het image → dezelfde digest = gegarandeerd precies dezelfde bytes. Voordelen: reproduceerbaarheid (je deployt precies wat je hebt getest), beveiliging (een aanvaller kan de inhoud achter een vertrouwde tag niet verwisselen) en supply-chain-integriteit (de digest kan met Sigstore/cosign worden ondertekend en geverifieerd). Best practice in productie: pin op een digest, niet alleen op een tag. Nadeel: minder leesbaar en handmatig bijwerken bij een nieuw image.