Зачем закреплять базовый образ Docker (а не :latest или python:slim)
Почему это важно
Плавающий тег — :latest или тег без версии вроде python:slim — на каждой сборке указывает на другой образ, и две сборки одного коммита могут вести себя в проде по-разному.
Как исправить
Замените плавающие теги на явные, например FROM python:3.11-slim или FROM node:20-alpine. Закрепление по digest даёт максимальную гарантию.
Проходит ли эту проверку ваш репозиторий?
Бесплатно для публичных репозиториев GitHub, без регистрации. До 58 проверок DevOps и безопасности примерно за 5 секунд.