Build 轨道分为 L0（无）、L1（存在来源证明）、L2（由托管构建平台生成的已签名来源证明）和 L3（经过加固的构建平台，可防止各次运行相互影响或伪造来源证明）。1.2 版新增了 Source 轨道（针对版本控制、历史记录、强制执行的控制措施和双人审查的等级）。每个等级都说明验证者可以信任什么，以及它应对哪些威胁。
SLSA 来源证明是一种 in-toto 证明，谓词类型为 https://slsa.dev/provenance/v1，描述构建器、构建类型、外部参数和已解析的依赖。GitHub 的制品证明、slsa-github-generator、Google Cloud Build 和 npm 来源证明都会生成它；验证者将其与预期对照，例如源代码仓库和构建器身份。