Утверждение in-toto (Statement, _type https://in-toto.io/Statement/v1) перечисляет артефакты в subject по имени и дайджесту и содержит URI predicateType с объектом predicate: сведения о происхождении SLSA, SBOM в формате SPDX или CycloneDX, результаты сканирования уязвимостей и тестов или собственные типы. Утверждение упаковывают в конверт DSSE и подписывают, обычно с помощью Sigstore, поэтому подпись охватывает и полезную нагрузку, и её тип.
Исходная спецификация макетов (layout) in-toto также задаёт для всего пайплайна ожидаемые шаги, исполнителей (functionaries) и проверки (inspections); сегодня на практике обычно используют только формат аттестаций. Проверяющим сторонам следует сопоставлять субъекты по дайджесту, проверять, что тип предиката совпадает с ожидаемым, и применять политики к содержимому предиката. Просмотр аттестаций in-toto декодирует конверты и утверждения.