Der Build-Track hat die Stufen L0 (keine), L1 (Provenance ist vorhanden), L2 (signierte Provenance von einer gehosteten Build-Plattform) und L3 (gehärtete Build-Plattform, die verhindert, dass sich Läufe gegenseitig beeinflussen oder Provenance fälschen). Version 1.2 hat einen Source-Track ergänzt (Stufen für Versionskontrolle, Historie, erzwungene Kontrollen und Review durch zwei Personen). Jede Stufe legt fest, worauf ein Verifizierer vertrauen kann und gegen welche Bedrohungen sie schützt.
SLSA-Provenance ist eine in-toto-Attestierung mit dem Prädikattyp https://slsa.dev/provenance/v1, die den Builder, den Build-Typ, externe Parameter und aufgelöste Abhängigkeiten beschreibt. Die Artefakt-Attestierungen von GitHub, der slsa-github-generator, Google Cloud Build und npm-Provenance erzeugen sie; Verifizierer gleichen sie mit Erwartungen wie dem Quell-Repository und der Identität des Builders ab.