once es una herramienta de línea de comandos diseñada para ejecutar un comando una sola vez y almacenar su salida en la memoria para reutilizarla posteriormente. Su objetivo principal es eliminar la necesidad de autenticar repetidamente la misma información, como secretos de 1Password o tokens de GitHub, mediante un pequeño demonio de fondo que gestiona la caché por usuario. El sistema funciona mediante un socket Unix con permisos restrictivos (modo 0700) que aísla el acceso a otros usuarios, garantizando que cada sesión tenga su propio contexto de caché mediante una clave de inquilino (tenant key).
La herramienta opera en macOS y Linux, requiriendo Go 1.27 o superior. Su uso típico implica definir una clave de inquilino en la configuración de la terminal y ejecutar comandos como once --ttl 8h --no-dir -- op read op://Private/GitHub/token. La primera ejecución solicita la autenticación biométrica, pero las llamadas posteriores dentro del período de validez (configurado con --ttl o --until) se sirven directamente desde la memoria, ahorrando tiempo y reduciendo la fricción en flujos de trabajo automatizados con herramientas como mise o direnv.
Técnicamente, once valida la salida solo si el comando se ejecuta con éxito y no produce errores de salida. La clave de caché se calcula como un HMAC-SHA256 que incluye la clave de inquilino, el directorio de trabajo y los argumentos del comando. Si se utiliza la opción --no-dir, la salida se comparte entre directorios, asumiendo que el comando no depende del contexto de ruta. El demonio no cifra los valores en memoria, pero deshabilita los dumps de núcleo para prevenir fugas de datos. Las salidas superiores a 64 MiB se pasan a través sin cachearse, y la expiración se verifica contra el reloj de pared para manejar correctamente las sesiones de computadoras portátiles.