Il digest di un'immagine container è un hash crittografico che identifica il contenuto esatto di un'immagine. A differenza di un tag come latest o 1.2, che può essere spostato per puntare a un'immagine diversa, un digest fa riferimento a una build specifica dell'immagine.
I digest sono importanti per la sicurezza informatica perché consentono ai team di verificare e distribuire l'immagine che intendevano utilizzare. In un attacco alla catena di approvvigionamento, un tag considerato attendibile potrebbe essere aggiornato per puntare a un'immagine dannosa; vincolare una distribuzione a un digest noto aiuta a prevenire questa sostituzione e facilita le indagini su quale immagine sia stata utilizzata. Un digest ne stabilisce l'identità, non la sicurezza: anche un'immagine dannosa ha un digest valido. Affiancate ai controlli sui digest verifiche di provenienza attendibile, scansioni e processi di pubblicazione controllati.