Трек Build включает уровни L0 (ничего), L1 (сведения о происхождении есть), L2 (подписанные сведения о происхождении от управляемой (hosted) платформы сборки) и L3 (защищённая платформа сборки, которая не даёт запускам влиять друг на друга или подделывать сведения о происхождении). Версия 1.2 добавила трек Source (уровни для системы контроля версий, истории, принудительно применяемых мер контроля и ревью двумя участниками). Каждый уровень указывает, чему может доверять проверяющая сторона и от каких угроз он защищает.
Сведения о происхождении SLSA — это аттестация in-toto с типом предиката https://slsa.dev/provenance/v1, которая описывает сборщика, тип сборки, внешние параметры и разрешённые зависимости (resolved dependencies). Их формируют аттестации артефактов GitHub, slsa-github-generator, Google Cloud Build и npm provenance; проверяющие стороны сверяют их с ожидаемыми значениями, например с исходным репозиторием и удостоверением сборщика.