in-toto Statement（_type 为 https://in-toto.io/Statement/v1）按名称和摘要列出 subject 制品，并携带一个 predicateType URI 和一个 predicate 对象：SLSA 来源证明、SPDX 或 CycloneDX SBOM、漏洞扫描、测试结果或自定义类型。Statement 封装在 DSSE 信封中签名，通常借助 Sigstore，因此签名同时覆盖载荷及其类型。
最初的 in-toto 布局规范还为整条流水线定义了预期步骤、执行者（functionary）和检查项；如今大多数采用者只使用其证明格式。验证者应按摘要匹配主体，检查谓词类型是否符合预期，并针对谓词内容评估策略。in-toto 证明查看器可以解码信封和 Statement。