Docker & KubernetesTag là tên tham chiếu dễ đọc như app:1.2.0 hoặc app:latest, có thể bị trỏ lại image khác. Digest là content-addressed reference theo hash, bất biến theo nội dung image.
Production nên tránh phụ thuộc latest. Dùng version tag rõ ràng và trong môi trường yêu cầu reproducibility cao có thể pin digest để đảm bảo đúng artifact được deploy.