Image-digest
En kryptografisk hash (SHA-256) som unikt och oföränderligt identifierar en exakt container-image. Till skillnad från en tagg (som kan flyttas till ett nytt innehåll) pekar en digest alltid på exakt samma bytes — grunden för reproducerbara och säkra deploys.
Problem: en tagg som :latest eller :v1.2 är ett mutabelt namn — den kan i tysthet flyttas till en ny image (någon pushar om samma tagg), så två deploys av "samma" tagg kan ge olika innehåll. En digest (image@sha256:abc123...) beräknas från imagens innehåll → samma digest = exakt samma bytes, garanterat. Vinst: reproducerbarhet (deploy:ar exakt det du testade), säkerhet (en angripare kan inte byta ut innehållet bakom en tagg du litar på), och supply-chain-integritet (digesten kan signeras/verifieras med Sigstore/cosign). Bästa praxis i produktion: pinna till digest, inte bara tagg. Avvägning: mindre läsbart och kräver uppdatering när man vill ha en ny image. Centralt i supply-chain-säkerhet för containrar. Hör ihop med image-lager och multi-stage build.