A trilha Build tem os níveis L0 (nenhuma garantia), L1 (a proveniência existe), L2 (proveniência assinada gerada por uma plataforma de build hospedada) e L3 (plataforma de build reforçada que impede que as execuções influenciem umas às outras ou falsifiquem a proveniência). A versão 1.2 acrescentou uma trilha Source (níveis para controle de versão, histórico, controles obrigatórios e revisão por duas partes). Cada nível declara em que um verificador pode confiar e quais ameaças ele trata.
A proveniência SLSA é um atestado in-toto com tipo de predicado https://slsa.dev/provenance/v1, que descreve o builder (a plataforma de build), o tipo de build, os parâmetros externos e as dependências resolvidas. Os atestados de artefatos do GitHub, o slsa-github-generator, o Google Cloud Build e a proveniência do npm a produzem; os verificadores a comparam com expectativas como o repositório de origem e a identidade do builder.