Esta es una pregunta muy complicada dado que los proveedores de correo del mundo no proporcionan fácilmente estadísticas sobre sus servidores de correo.
Auto diagnóstico
Para determinar la respuesta a su pregunta en función de sus propios pares de servidor / dominio, puede habilitar el registro SSL:
postconf -e \
smtpd_tls_loglevel = "1" \
smtpd_tls_security_level = "may"
postconf
postfix reload
Esto supone que guarda sus mensajes de syslog de correo por un tiempo. Si no, quizás configure una estrategia de archivo de syslog y escriba un script de shell para resumir el uso de TLS en su servidor. Tal vez ya hay script para hacer esto.
Una vez que se sienta cómodo de que todos sus pares son compatibles con TLS y con el cifrado y la fuerza del protocolo que está dispuesto a hacer cumplir, puede tomar una decisión informada. Cada ambiente es diferente. No hay una respuesta única que satisfaga sus necesidades.
Mi propia experiencia personal
Por lo que vale, mi propio servidor de correo personal hace cumplir TLS. Esto tiene un efecto secundario divertido de negar la mayoría de los bots de spam, ya que la mayoría de ellos no son compatibles con TLS. (Hasta ese cambio, confiaba en la metodología S25R regexp)
Actualizar
Ha pasado un año desde que respondí esto y los únicos problemas que tuve al recibir correos electrónicos con TLS forzado fueron desde los servidores web front-end en Blizzard (controles parentales) y el sistema de administración de Linode. Todos los demás con los que interactúo parecen admitir TLS con cifrados fuertes muy bien.
Ambiente corporativo
En un entorno corporativo, le recomiendo encarecidamente que habilite el registro de TLS y lo deje en funcionamiento durante bastante tiempo antes de aplicar TLS. Siempre puede aplicar TLS para nombres de dominio específicos en el archivo tls_policy.
postconf -d smtp_tls_policy_maps
El sitio de postfix tiene una excelente documentación sobre el uso de los mapas de políticas de tls. Al menos puede asegurarse de que los dominios específicos que proporcionan información confidencial estén encriptados incluso si un ISP intenta eliminar el soporte TLS en la conexión inicial del servidor.