忘れてた。

　Cyrus-imapdはPOPサーバとしても動作している。
　で、POP3認証がPlaintext（平文パスワード）OKになってた。……あぶないあぶない。

　APOP必須にするには、/etc/imapd.confに「allowplaintext: no」と書けばよい。telnetで110番ポートにアクセスしたりメーラーで受信してみたりして確認。平文パスワードだと蹴られるようになった。