Дайджест образа (image digest)
Криптографический хеш (SHA-256), однозначно и неизменяемо идентифицирующий конкретный образ контейнера. В отличие от тега он всегда указывает на одни и те же байты.
Тег вроде :latest или :v1.2 — изменяемое имя: кто-то перезальёт образ под тем же тегом, и два деплоя «одного и того же» дадут разное содержимое. Дайджест (image@sha256:abc123...) вычисляется из содержимого, поэтому тот же дайджест — те же байты, гарантированно. Выигрыш: воспроизводимость (деплоится ровно то, что тестировали), безопасность (подменить содержимое за доверенным тегом нельзя) и целостность цепочки поставок (дайджест можно подписать и проверить через Sigstore/cosign). В продакшене принято закреплять образ по дайджесту, а не только по тегу. Цена — читаемость и необходимость обновлять значение вручную.