postfix - startlts против ssl

На сколько я понимаю (но я не сильно уверен) starttls передаёт только зашифрованный пароль.. для авторизации на сервере через SASL

В принципе, разницы особой нет. Отдельный порт легче конфигурировать на файрволе, стандартный 25 порт может быть закрыт у провайдера и fw могут не пропускать нормально starttls. Делать ещё один порт каким-либо способом всё равно придётся.

Не совсем так. Starttls - по сути, просто переводит протокол в шифровонное состояние (то есть ssl внутри smtp). ssl на отдельном порту - это как https, то есть smtp внутри ssl.

Просто планирую так же прикрутить sasl. Скорее всего действительно вынесу на отдельный порт.

SASL ничему не мешает. Можно сказать постфиксу чтобы он проводил аутентификацию только после TLS. Хотя это не спасает от тупых клиентов.