exim + Outlook - безопасная проверка пароля (SPA)

[ave]

в оутлуке есть такая фишка - безопасная проверка пароля (SPA)

exim вроде бы может это делать
в доках рекомендуется так:

spa:
driver = spa
public_name = NTLM
server_password = ${lookup{$auth1}lsearch{/etc/exim/spa_clearpass}{$value}fail}

у меня пользователи забиты в postgresql, я сделал так

auth_spa:
driver = spa
public_name = NTLM
server_set_id = $auth1
server_password = ${lookup pgsql{SELECT password FROM users WHERE login='$auth1'}}
server_advertise_condition = ${if def:tls_cipher }

настраиваю в оутлуке для сервера исходящей почты:
[v] проверка подлинности пользователя
и в настройках аутентификации:
+----------------------------------------------------------+
| (.) использовать для входа |
| учетную запись [ ] |
| пароль [ ] |
| [v] использовать безопасную проверку пароля |
+----------------------------------------------------------+

пытаемся отправить письмо, но фиг тут, в логах выскакивают ошибки:
SSL_write error 5
auth_login authenticator failed for ... : 535 Incorrect authentication data

затем опция безопасной проверки пароля сбрасывается,
заново запрашивается логин/пароль
и проходит аутентификация по методу LOGIN (обычному для оутлуку)

у меня есть подозрение - а может здесь нужно использовать шифрованный пароль,
с ним проводить сравнение
так то у меня в базе лежат открытые пароли

не то что бы это очень уж необходимо, просто интересно
может кто нибудь проходил уже эти грабли

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[dmart]

А что в политике безопасности на клиенте (Параметры безопасности/Сетевая безопасность: уровень проверки подлинности LAN Manager)? Должно быть "только NTLM", NTLMv.2 не поддерживается.