> А dovecot умеет только чтобы все или и сертификат и пароль предоставляли,
> или все предоставляли только сертификат, а пароль записывается пустой, и парольная
> аутентификация не возможна. Но это косяк dovecot.

на вскидку это можно заюзать http://wiki2.dovecot.org/Authentication/MultipleDatabases

Dovecot supports defining multiple authentication databases, so that if the password doesn't match in the first database, it checks the next one.

определим два passdb

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql-CERT.conf.ext // тут sql где проверка тока на валидность ключа
  #result_failure = continue
  #result_success = return-ok
}

passdb {
  driver = sql
  args = /etc/dovecot/dovecot-sql.conf.ext // тут sql где обычная проверка
}

# dovecot-sql-CERT.conf.ext
password_query = SELECT userid as user, nopassword FROM users WHERE user = '%u' and 'valid' = '%k'

# dovecot-sql.conf.ext
password_query = SELECT userid as user, password FROM users WHERE user = '%u'

ps: не тестил, проверьте