>>>А dovecot умеет только чтобы все или и сертификат и пароль предоставляли, или все предоставляли только сертификат, а пароль записывается пустой, и парольная аутентификация не возможна. Но это косяк dovecot.
> http://wiki.dovecot.org/Variables
> %k - cert "valid" if client had sent a valid client certificate,
> otherwise empty.

Большое спасибо за наводку, попробую у себя на сервере как-то провнернуть.
Правда у меня не sql а passwd-file и мне не совсем понятно, где и когда проверять на %k

> ps: по-моему всё сводится к стандарту протокола имап или поп3, там нуно
> полюбэ пройти авторизацию (хоть с пустой строкой), поправьте если ошибаюсь.

К сожалению, в этих протоколах я не силён, возможно и так.