diff --git a/web-next/lib/recover.ts b/web-next/lib/recover.ts
index b0c1ee8..19ef89b 100644
--- a/web-next/lib/recover.ts
+++ b/web-next/lib/recover.ts
@@ -137,10 +137,12 @@ export async function requestRecovery(type: string, value: string): Promise<Resu
       )
       if (rows[0]) {
         const link = `${site}/activate-account?act=${rows[0].hash}`
+        // Mismo correo que manda `registerAccount`: normalizado (MAYÚSCULAS) al
+        // mostrarlo, sin normalizar como destinatario.
         await sendMail(
           email,
-          `Activación de la cuenta ${email} - NightSpire`,
-          activationEmailHtml(email, link),
+          `Activación de la cuenta ${normalizeEmail(email)} - NightSpire`,
+          activationEmailHtml(normalizeEmail(email), link),
         )
       }
     } catch {
diff --git a/web-next/lib/register.ts b/web-next/lib/register.ts
index 553314d..ca81e5f 100644
--- a/web-next/lib/register.ts
+++ b/web-next/lib/register.ts
@@ -78,7 +78,14 @@ export async function registerAccount(input: RegisterInput): Promise<Result> {
   )
 
   const link = `${process.env.SITE_URL}/activate-account?act=${hash}`
-  await sendMail(email, `Activación de la cuenta ${email} - NightSpire`, activationEmailHtml(email, link))
+  // El correo se muestra normalizado (MAYÚSCULAS) en el asunto y en el cuerpo, igual
+  // que en el del token de seguridad, que lo saca de `session.bnetEmail` (ya normalizado).
+  // El DESTINATARIO va sin normalizar: es la dirección tal cual la escribió el usuario.
+  await sendMail(
+    email,
+    `Activación de la cuenta ${normalizeEmail(email)} - NightSpire`,
+    activationEmailHtml(normalizeEmail(email), link),
+  )
 
   return { success: true }
 }
diff --git a/web-next/lib/security-token.ts b/web-next/lib/security-token.ts
index ab1f583..bcfe07b 100644
--- a/web-next/lib/security-token.ts
+++ b/web-next/lib/security-token.ts
@@ -47,7 +47,14 @@ export async function requestSecurityToken(session: SessionData, ip: string): Pr
   )
 
   // La cuenta es el correo: con Battle.net se entra con él, no con un usuario.
-  await sendMail(email, 'Token de seguridad - NightSpire', securityTokenEmailHtml(email, token, ip || '0.0.0.0'))
+  // Con la cuenta en el asunto, como el original: `email` es `session.bnetEmail`,
+  // que va normalizado en MAYÚSCULAS (lo exige el SRP6 de bnet). Mismo patrón que
+  // el asunto del correo de activación.
+  await sendMail(
+    email,
+    `Token de seguridad de la cuenta ${email} - NightSpire`,
+    securityTokenEmailHtml(email, token, ip || '0.0.0.0'),
+  )
 
   const [created] = await db(DB.default).query<RowDataPacket[]>(
     'SELECT created_at FROM securitytoken WHERE user_id = ? ORDER BY created_at DESC LIMIT 1',