Image Digest Pinning - Definição do Glossário de CI/CD
O digest pinning referencia uma imagem pelo seu digest de conteúdo sha256 em vez de uma tag como :latest, de modo que a referência é imutável e os builds são reproduzíveis.
O image digest pinning referencia uma imagem de container pelo seu digest de conteúdo imutável (por exemplo image@sha256:...) em vez de uma tag mutável, garantindo que todo build faça pull dos exatos mesmos bytes da imagem.
Tags podem ser reapontadas para novo conteúdo; um digest não pode, e é por isso que as diretrizes de supply-chain recomendam o pinning.
Tag vs digest
Uma tag como node:20 pode se mover silenciosamente para uma nova imagem; uma referência por digest sempre resolve para os mesmos bytes. Faça o pin de imagens base e actions por digest para reprodutibilidade e para se defender de uma tag reapontada.