Opciones de arranque de macOS para administradores: Recuperación, Utilidad de Seguridad de Arranque y Primeros auxilios de Utilidad de Discos

Objetivo

Iniciar un Mac en un modo de recuperación o diagnóstico y comprobar o reparar su disco de arranque, usando solo las herramientas integradas de Apple y con la consola física al alcance de un administrador.

Requisitos previos

Acceso físico al Mac (o un equivalente KVM remoto capaz de enviar las secuencias de teclas o botones necesarias al encender); una cuenta de administrador y su contraseña para los pasos que requieren autenticación.

Pasos

1. Inicie desde la Recuperación de macOS. Apple silicon: apague el equipo y mantenga pulsado el botón de encendido hasta que aparezca "Loading startup options" (cargando opciones de arranque); haga clic en Options (Opciones), luego en Continue (Continuar) y autentíquese como administrador si se le solicita. Intel: pulse el botón de encendido e inmediatamente mantenga pulsado Command (⌘)-R (Option-Command-R o Shift-Option-Command-R inician la Recuperación a través de internet). La Recuperación ofrece Restore from Time Machine (restaurar desde Time Machine), Reinstall macOS (reinstalar macOS), Disk Utility (Utilidad de Discos) y, desde la barra de menús, Terminal y Startup Security Utility (Utilidad de Seguridad de Arranque).
2. La Utilidad de Seguridad de Arranque define la política del disco de arranque. En los Mac Intel con chip T2 los niveles son Seguridad completa (el valor predeterminado: el sistema operativo debe ser uno en el que Apple confíe en ese momento), Seguridad media (cualquier macOS firmado por Apple, sin comprobación en línea) y Sin seguridad; un ajuste aparte permite o impide arrancar desde medios externos. En Apple silicon establece Seguridad completa o Seguridad reducida por cada volumen de macOS. Reduzca el nivel solo como medida deliberada y temporal, y restáurelo después.
3. Modo seguro: en Apple silicon, abra las opciones de arranque como en el paso 1, seleccione el disco de arranque, mantenga pulsada la tecla Shift y haga clic en "Continue in Safe Mode" (continuar en modo seguro); en Intel, mantenga pulsada Shift justo después de encender hasta que aparezca la ventana de inicio de sesión. Arranca solo con las extensiones de kernel imprescindibles y sin algunos elementos de inicio, lo que ayuda a distinguir los problemas causados por software de terceros de los de macOS o del hardware. Se deshace reiniciando con normalidad.
4. Compruebe el disco con Primeros auxilios de Utilidad de Discos o, en Terminal, con diskutil verifyVolume <volume> (solo comprueba) y diskutil repairVolume <volume>, que ejecutan el fsck adecuado para el sistema de archivos. fsck_apfs -n /dev/<diskXsY> comprueba un volumen APFS sin repararlo; ejecútelo sobre un volumen desmontado (por ejemplo, desde la Recuperación). Las reparaciones fuera de la Recuperación requieren sudo. Si FileVault está activado, desbloquee primero el volumen en Utilidad de Discos (Mount, montar) con la contraseña de un usuario o la clave de recuperación.
5. La Protección de Integridad del Sistema (SIP) "restricts the root user account and limits the actions that the root user can perform on protected parts of" macOS (es decir, restringe la cuenta root y limita las acciones que puede realizar en las partes protegidas de macOS), como /System, /usr, /bin y /sbin; por eso ni siquiera sudo puede escribir en ellas. csrutil status muestra su estado. Lea nvram boot-args antes de cambiar nada; modificarlo requiere sudo, y SIP o la Seguridad completa rechazan o ignoran muchos argumentos de arranque.
6. Para restablecer la NVRAM en un Mac Intel, mantenga pulsadas Option-Command-P-R al encender; Apple silicon no tiene esa combinación de teclas.

Resultado esperado

El Mac llega a la Recuperación, al Modo seguro o a Primeros auxilios según lo previsto; diskutil verifyVolume y fsck_apfs -n indican que el volumen está en buen estado, o Primeros auxilios informa de lo que ha reparado.

Límites y base de verificación

Las combinaciones de teclas y la redacción de los menús varían entre Macs con Apple silicon e Intel y entre versiones de macOS; confirme el procedimiento para el modelo concreto. El modo de usuario único (Command-S) está desactivado desde macOS Mojave. La lista de rutas protegidas por SIP y su aplicación dependen de la versión: conviene asumir que bloquea la escritura en las rutas del sistema, en lugar de apoyarse en una lista fija.