Hi!
Không phài là so sánh. Nhưng tớ xài postfix thay vì qmail vì có 3 cái tính năng này thôi:

I - LDAP intergration: qmailrocks là qmailtoaster đều chơi với mysql cả. Nếu tự làm thì e admin của tớ không patch nổi. (tớ làm được nhưng để mấy cậu đó làm, chớ 1 mình mình bao nhiêu cái khác ).

II - SMTPD: reject when not logged in: cái này mô tả rất dễ. Ví dụ server của công ty abc.com, nhận và gửi mail (tức là mail relay kiêm mail host). Giả thiết ta có 1 user là john@abc.com.
1. john@abc.com muốn gửi mail cho ai đó, ví dụ xx@yahoo.com">xxx@yahoo.com, thì phải xác thực trước, kiểu như: AUTH LOGIN john, .. MAIL FROM: <john@abc.com>, RCPT TO: <xxx@yahoo.com>. Nếu không xác thực thì sẽ không cho gửi đi, server sẽ báo là not allow to relay. Cái này MTA nào cũng có.
2. Mail ở ngoài đến (ví dụ từ domain @yahoo.com), tới john@abc.com. 1 loạt lệnh sẽ kiểu như là: MAIL FROM: <xxx@yahoo.com>, RCPT TO: <john@abc.com>... server chấp nhận chả cần xác thực. Và 1 loạt các thủ tục kiểm tra spam/virus được áp dụng, như là domain nguồn có hợp lệ, from 1 user có hợp lệ ko, có domain key không....
Tuy nhiên nếu 1 thằng spammer nó chơi kiểu: MAIL FROM: <john@abc.com>, RCPT TO: <john.abc.com> thì với server vẫn chấp nhận, dù cái này là địa chỉ giả mạo, MTA check nguồn sẽ là hợp lệ (tất nhiên là còn 1 loạt các thứ khác).
=> Với postfix, tớ có thể setup để mọi email from @abc.com đều ép phải xác thực như trường hợp 1., nếu không thì sẽ là "reject: not logged in". Cái này sẽ giảm được đáng kể spammer lợi dụng vì cơ chế xác định domain gửi đi + check sự tồn tại của host/user nguồn sẽ cứng rắn hơn. Nếu xài bừa from @yahoo.com chẳng hạn, thằng amavis sẽ check được domain key.
Qmail không check được cái này vì 2 giai đoạn xác thực và smtp do 2 process đảm nhiệm. Chưa thử xem Exchange có bị không.
Mỗi ngày server chỗ tớ ghi nhận khoảng 10K cái not logged in này. Chứng tỏ spamer rất khoái trò đó. Hiệu quả đấy chứ?

III- Reject when logged user not match: cái này tương tự như là mục II.1, nhưng là kiểm tra xem người gửi và tên đăng nhập có phải là 1 cặp hợp lệ hay không. Đơn giản là ông john chỉ được phép mail from là john@abc.com. mới gửi được, không thể khác được. Cái này tránh cho user thiết lập nhầm hoặc chống giả mạo. Ông xyz gì đó ko thể from <john@abc.com> được, dù có đăng nhập thành công với user xyz, sẽ nhận được thông báo: "reject: logged user xxx not match with email xxx@xxx".
Cái này có 1 điểm hữu ích: Vì là các bác user rất hay để password dễ đoán (như là 123456), cái này tất nhiên ngoài chính sách ép buộc ra, thì vẫn phải có phòng bị. Tớ đã từng bị 1 gã hacker nào đó, do bằng 1 số cách nào đấy nó đoán được pass của 1 số user. Nó lợi dụng các login đó để gửi mail from <linh tinh>, gửi spam ầm ầm qua server của mình. Hồi đó xài qmail, vì đã đăng nhập nên from cái gì cũng được, chỉ cần domain hợp lệ là xong. Server thì nó ghi nhật ký cái này không rõ ràng lắm, nên mãi mới xác định được gốc và đổi pass của user.
Qmail không check được cái này. Bác nào có Exchange thử xem nó có hỗ trợ không.