Security 使用STARTTLS时SMTP普通身份验证是否安全？

我正在写一些需要发送电子邮件的linux代码。我的问题是: 当我使用STARTTLS（MSMTPC中的STARTTLS on）时，使用普通身份验证（auth plain）安全吗？是连接吗 a） 在发送密码之前加密？或 b） 发送密码，然后建立加密

我假设第一个解决方案（a），但我希望确保没有普通密码通过网络

也是（这是一个附带的问题），我假设即使是StuttLs也不是强制性的，我听说中间攻击者的人可以“降级”连接以禁止使用TLS。这是真的吗？这里的问题是：我是否应该做进一步的测试以确保只能与SMTP服务器建立加密连接

这是我的MSMTPC：

account default
host my-smtp-server.pl
tls on
tls_certcheck off
tls_starttls on
port 587
auth on
from my-email@mydomain.pl
auth plain
user username
password p@$$w0rd