Sulla porta 110 gira POP3: il client scarica i messaggi e di solito li cancella dal server. La cifratura è disponibile solo con STLS (STARTTLS) dopo la connessione.
La RFC 8314 raccomanda il TLS implicito, cioè la porta 995. Quando tutti i client usano la 995, chiudi la 110 nel firewall. In Dovecot, ssl = required impedisce almeno i login in chiaro.
Problema tipico: mail sparite dallo smartphone perché un altro dispositivo le ha scaricate via POP3 e cancellate. Con più dispositivi usa IMAP.
Verifica
openssl s_client -starttls pop3 -connect mail.esempio.it:110