Solución rápida: bootrec /fixboot devuelve “Acceso denegado” en sistemas UEFI porque Windows 8+ protegió la partición EFI. Usa bcdboot C:\Windows /s S: /f UEFI en su lugar, donde S: es la letra de la partición del sistema EFI asignada mediante diskpart.

Estás reparando una instalación de Windows que no arranca. Arrancas desde un USB de instalación de Windows, abres el Símbolo del sistema, ejecutas la secuencia de reparación estándar — bootrec /fixmbr, bootrec /fixboot — y el paso /fixboot devuelve “Acceso denegado.” La causa es UEFI: en instalaciones UEFI, la partición del sistema EFI (ESP) no tiene una letra de unidad accesible desde el Entorno de recuperación, por lo que bootrec no puede escribir en ella. La solución es montar la ESP manualmente y usar bcdboot.

Síntoma: bootrec /fixboot devuelve “Acceso denegado” o 0x80092011 en el Entorno de recuperación de Windows en sistemas UEFI.
Afecta a: Windows 11 (y Windows 10) en PCs con arranque UEFI.
Tiempo de reparación: ~15 minutos.

Qué causa esto

El comando bootrec /fixboot escribe un nuevo sector de arranque en la partición del sistema. En instalaciones heredadas MBR/BIOS, la partición del sistema tiene una letra de unidad normal y bootrec puede escribir en ella. En instalaciones UEFI/GPT, la configuración de arranque reside en una partición del sistema EFI (ESP, FAT32, ~100 MB) oculta y separada. La ESP no se monta automáticamente con una letra de unidad — Windows la reserva solo para uso del sistema.

Cuando bootrec /fixboot se ejecuta y no encuentra una partición de sistema en la que pueda escribir, devuelve “Acceso denegado.” La solución es asignar manualmente una letra de unidad a la ESP y luego usar bcdboot (que maneja UEFI de forma nativa) en lugar de bootrec.

Método 1: Montar la ESP y usar bcdboot (recomendado)

La ruta compatible para sistemas UEFI.

Arranca desde el USB de instalación de Windows 11. Elige Reparar el equipo → Solucionar problemas → Símbolo del sistema.
Identifica la unidad de instalación de Windows y la ESP:
```
diskpart
list disk
select disk 0
list volume
```
Busca en la salida:
- Un volumen etiquetado como Windows o que muestre tu instalación (~100+ GB usados). Anota su letra (a menudo C:, a veces D:).
- Un volumen FAT32 pequeño (~100 MB) — la ESP. Anota su número de volumen.
Asigna una letra a la ESP:
```
select volume N
assign letter=S
exit
```
Reemplaza N con el número de volumen de la ESP.
Formatea la ESP si está dañada (omite si quieres conservar el BCD existente):
```
format S: /FS:FAT32 /Q
```
Usa bcdboot para colocar un entorno de arranque nuevo en la ESP:
```
bcdboot C:\Windows /s S: /f UEFI
```
Ajusta C: a tu unidad de instalación de Windows. La salida debería decir Boot files successfully created.

Elimina la letra temporal de la ESP:

diskpart
select volume N
remove letter=S
exit

Reinicia normalmente. Windows ahora debería arrancar.

Esta es la solución canónica cuando bootrec /fixboot devuelve Acceso denegado.

Método 2: Recrear la partición del sistema EFI si falta

Para cuando diskpart list volume no muestra ninguna partición FAT32 similar a una ESP.

Desde el Símbolo del sistema de recuperación, ejecuta diskpart.
Verifica tus discos y particiones:
```
list disk
select disk 0
list partition
```
Si la ESP falta por completo, busca espacio no asignado al inicio del disco (donde normalmente reside la ESP).

Si existe espacio no asignado al inicio:

select disk 0
create partition efi size=100
format quick fs=fat32 label="System"
assign letter=S

Si tu partición C: llena el disco y no hay espacio no asignado: primero tendrás que reducir C:. Arranca desde un USB GParted Live (herramienta Linux gratuita) para redimensionar particiones NTFS de forma segura.
Una vez que la ESP exista con una letra, ejecuta bcdboot como en el Método 1.
Sal de diskpart y reinicia.

Esto maneja el peor caso: la ESP fue eliminada por una herramienta de particiones de terceros.

Método 3: Probar bootrec con derechos elevados en el volumen subyacente

Para cuando necesitas específicamente que bootrec /fixboot funcione (algunos scripts de recuperación dependen de él).

Desde el Símbolo del sistema de recuperación, identifica la unidad de instalación de Windows: normalmente C: o D:.
Cambia a la unidad de instalación de Windows: C: (o D:).

Toma posesión del directorio de arranque:

cd \boot
takeown /f bootmgr
icacls bootmgr /grant administrators:F

Prueba bootrec /fixboot de nuevo. En algunos sistemas esto resuelve el Acceso denegado.
Si sigue fallando: el problema es realmente una discrepancia entre UEFI y MBR — bootrec no es la herramienta adecuada para UEFI. Vuelve al Método 1.
Específicamente para sistemas MBR: asegúrate de que la partición del sistema tenga la marca Activa:
```
diskpart
select disk 0
select partition 1
active
exit
```
Luego reintenta bootrec /fixmbr y bootrec /fixboot.

La contrapartida: esto intenta mantener bootrec como la herramienta, lo cual es el enfoque incorrecto en UEFI. El Método 1 es más limpio.

Cómo verificar que la solución funcionó

Reinicia el PC. Windows debería arrancar hasta la pantalla de inicio de sesión sin intervención.
Abre Terminal (Admin) y ejecuta bcdedit /enum. La salida debería mostrar entradas Windows Boot Manager y Windows Boot Loader con rutas válidas.
Comprueba que la ESP vuelva a estar oculta correctamente: diskpart → list volume. La ESP debería aparecer como FAT32 sin letra de unidad (tipo Sistema).

Si nada de esto funciona

Si bcdboot tiene éxito pero Windows sigue sin arrancar, hay corrupción más profunda. Revisa el almacén BCD en busca de huérfanos: bcdedit /enum all. Busca entradas con rutas que apunten a particiones inexistentes. Elimínalas con bcdedit /delete {identifier}. Verifica que la partición de Windows esté sana: chkdsk C: /f desde el Símbolo del sistema de recuperación. Si CHKDSK encuentra muchos errores, es posible que el disco esté fallando — crea una imagen en otra unidad antes de seguir solucionando problemas. Comprueba si hay cargadores de arranque que no sean de Windows: las configuraciones de arranque dual con Linux (GRUB) a veces dejan entradas EFI conflictivas. Desde Recuperación, ejecuta bcdedit /enum firmware para ver todas las entradas de arranque EFI. Elimina las entradas que no sean de Windows con bcdedit /delete {GUID}. Para PCs que recibieron recientemente una actualización de características de Windows: la actualización local mediante la ISO de Windows 11 (monta la ISO, ejecuta setup.exe, elige Conservar archivos personales y aplicaciones) suele ser más rápida que seguir reparando el BCD. El mismo resultado final, menos depuración.

En resumen: bootrec /fixboot devuelve Acceso denegado en UEFI porque la ESP no se puede escribir desde Recuperación. Monta la ESP mediante diskpart, usa bcdboot en su lugar. Esta es la ruta compatible que Microsoft usa internamente.