Наиболее безопасный вариант настройки публичного почтового сервера на связке postfix+dovecot на ваш взгляд?

Question

[Василий]

Имеется связка postfix+dovecot, в данный момент открыты: 25 порт для mta-mta, 587 для smtp со starttls, 993 для imap со starttls. Что ещё можно сделать? Что вообще на данный момент считается стандартом? Что будет, если отрубить starttls т.е. разрешить только tls сразу?
И стоит ли пользовать SCRAM-SHA-1 для imap-login?