Le volet Build comprend les niveaux L0 (aucune garantie), L1 (une provenance existe), L2 (provenance signée, issue d’une plateforme de build hébergée) et L3 (plateforme de build durcie qui empêche les exécutions de s’influencer mutuellement ou de falsifier la provenance). La version 1.2 a ajouté un volet Source (niveaux portant sur le contrôle de version, l’historique, les contrôles imposés et la revue par deux personnes). Chaque niveau indique ce à quoi un vérificateur peut se fier et à quelles menaces il répond.
La provenance SLSA est une attestation in-toto de type de prédicat https://slsa.dev/provenance/v1, qui décrit le builder, le type de build, les paramètres externes et les dépendances résolues. Les attestations d’artefacts de GitHub, le slsa-github-generator, Google Cloud Build et la provenance npm la produisent ; les vérificateurs la comparent aux valeurs attendues, comme le dépôt source et l’identité du builder.