La vía de compilación (Build) tiene los niveles L0 (ninguno), L1 (existe procedencia), L2 (procedencia firmada por una plataforma de compilación alojada) y L3 (plataforma de compilación reforzada que impide que las ejecuciones se influyan entre sí o falsifiquen la procedencia). La versión 1.2 añadió una vía de código fuente (Source), con niveles para el control de versiones, el historial, los controles aplicados y la revisión por dos partes. Cada nivel indica en qué puede confiar un verificador y frente a qué amenazas protege.
La procedencia SLSA es una atestación in-toto con el tipo de predicado https://slsa.dev/provenance/v1, que describe el builder, el tipo de compilación, los parámetros externos y las dependencias resueltas. La producen las atestaciones de artefactos de GitHub, slsa-github-generator, Google Cloud Build y la procedencia de npm; los verificadores la comparan con lo esperado, como el repositorio de origen y la identidad del builder.