Das Klartext-Passwort ist soweit ich weiss die einzige Methode, für alle Kunden, ohne Ausnahmen. Wenn die Übertragung über eine SSL-Verbindung läuft, ist die Abhörsicherheit gewährleistet.
SPA war ein Microsoft-proprietäres Protokoll, das sich nie durchsetzte. Und APOP verwendet den inzwischen unsicheren Verschlüsselungsalgorithmus MD5. Von daher sind die beiden Optionen eher bedeutungslos.