Un digest immutabile è un hash crittografico che identifica il contenuto esatto di un’immagine container o di un altro artefatto software. A differenza di un tag modificabile come latest, un digest punta a una versione specifica, quindi non può spostarsi silenziosamente verso contenuti diversi mantenendo lo stesso identificatore.
Fissare le distribuzioni a digest aiuta i team a verificare cosa è stato compilato, revisionato ed eseguito, riducendo il rischio che una release imprevista o compromessa entri in un sistema tramite un tag aggiornato. In pratica, i manifest di distribuzione e le pipeline CI possono fare riferimento a un’immagine tramite digest, quindi verificarne le firme e la provenienza prima dell’uso. Un digest non dimostra che un artefatto sia sicuro; rende stabile la sua identità e più semplice sottoporla a verifica.