Digest de imagem
Um hash criptográfico (SHA-256) que identifica de forma única e imutável uma imagem de contêiner exata. Ao contrário de uma tag (que pode ser movida para outro conteúdo), o digest sempre aponta para exatamente os mesmos bytes — a base de deploys reprodutíveis e seguros.
O problema: uma tag como :latest ou :v1.2 é um nome mutável — pode ser movida em silêncio para uma nova imagem (alguém faz push de novo na mesma tag), e assim dois deploys da "mesma" tag podem entregar conteúdos diferentes. Um digest (image@sha256:abc123...) é calculado a partir do conteúdo da imagem → mesmo digest = exatamente os mesmos bytes, garantido. Ganhos: reprodutibilidade (o deploy é exatamente o que você testou), segurança (um atacante não consegue trocar o conteúdo por trás de uma tag em que você confia) e integridade da cadeia de suprimentos (o digest pode ser assinado e verificado com Sigstore/cosign). Boa prática em produção: fixar por digest, não só por tag. Contrapartida: menos legível e exige atualização quando se quer uma nova imagem. Central para a segurança da cadeia de suprimentos de contêineres. Relacionado a camada de imagem e multi-stage build.