diff --git a/sql/drop_home_securitytoken_authuser_fk.sql b/sql/drop_home_securitytoken_authuser_fk.sql
new file mode 100644
index 0000000..52b4bca
--- /dev/null
+++ b/sql/drop_home_securitytoken_authuser_fk.sql
@@ -0,0 +1,12 @@
+-- Elimina una FK obsoleta heredada de Django: home_securitytoken.user_id
+-- referenciaba auth_user.id, pero en el portal migrado estas tablas home_*
+-- se indexan por el id de cuenta de AzerothCore (acore_auth.account.id), no por
+-- auth_user (que quedó prácticamente vacío tras la migración).
+--
+-- Con la FK, /api/account/security-token daba HTTP 500 al emitir un token, lo
+-- que impedía activar la verificación en 2 pasos (/security-2falogin), que
+-- exige un token de seguridad. Al quitarla, ambos flujos funcionan.
+--
+-- Reversible: para recrearla (no recomendado) haría falta poblar auth_user.
+ALTER TABLE django_wow.home_securitytoken
+  DROP FOREIGN KEY home_securitytoken_user_id_03c61b81_fk_auth_user_id;