diff --git a/whatsnext-evolu-relay/docker-compose.yml b/whatsnext-evolu-relay/docker-compose.yml
index d13e16a..ca1b23e 100644
--- a/whatsnext-evolu-relay/docker-compose.yml
+++ b/whatsnext-evolu-relay/docker-compose.yml
@@ -49,11 +49,11 @@ services:
     # Voor de officiele store hoort er een multi-arch index-digest met arm64 in;
     # zie het masterplan Publicatie-Relay.
     #
-    # TODO de digest van 0.3.0 erachter zetten zodra hij geduwd is:
-    #   sudo docker inspect --format '{{index .RepoDigests 0}}' <tag>
-    # De digest van 0.2.0 is er expres uit gehaald en niet blijven staan: die
-    # wijst naar de vorige image, en dan draait er iets anders dan de tag belooft.
-    image: sc.kamenier-hamer.nl/sysop/evolu-relay:0.3.0
+    # De digest hoort erbij en niet alleen de tag: een tag kan opnieuw geduwd
+    # worden en dan draait er iets anders dan hier staat. Staan ze allebei, dan
+    # bepaalt de digest wat er gehaald wordt en is de tag alleen leesbaarheid.
+    # Geduwd op 28-08-2026.
+    image: sc.kamenier-hamer.nl/sysop/evolu-relay:0.3.0@sha256:d2d8fcbe0e7cf41ca90acecde4a79f0c91181f61bd4692dd2c04027ee1c8450a
     restart: on-failure
     ports:
       # De relay zelf. Dit is de poort waar Zoraxy met TLS naartoe wijst, en de