今や APOP が推奨されないのは、
毎回セッション開始時に <****@*****> という文字列作るために
/dev/random 等のエントロピープールを使うため、
乱数のエントロピー枯渇を狙った DoS 攻撃に対して弱くなる。
RFC1734(POP AUTH)だと AUTH コマンド送るまで乱数を使わなくて済む。

という認識で正しい？ (APOP と両方つかえるようにしてると意味無いけど)