Je vois ça comme ça:
émissaire -(AUTH)-> serveur SMTP de l'émissaire -(filtrage RDNS!=MX et blacklist des serveurs non-authentifiés)-> serveur SMTP du destinataire -(file d'attente locale)-> serveur POP du destinataire -(POP authentifié)-> destinataire
et idéalement chaque transfert entre 2 machines crypté par SSL/TLS (soit SSL/TLS dès le départ, soit le protocole STARTTLS).

Le serveur du destinataire vérifie que la partie de l'adresse après le @ est bonne, et il fait confiance à la partie avant le @ (et si on se rend compte que le serveur d'origine ment sur ça, il est blacklisté). Si on est strict, on blackliste aussi automatiquement tous les serveurs qui envoient des mails avec un @... dont l'entrée MX ne correspond pas au RDNS, parce qu'une authentification stricte devrait filtrer ces messages dès le départ.