Ein Container-Tag ist ein veränderlicher Verweis. Ein Digest hält die Fassung fest, braucht aber einen eigenen Ablauf für neue Sicherheitskorrekturen.