UTF-8 の文字を認める国際化ドメインを前提にすると、通常の文章と区別がつかなくなるので、セキュリティ対策に議論を絞るとよいのではないかと思います。なお、Postfix は 2.12 から [SMTPUTF8](http://www.postfix.org/SMTPUTF8_README.html) に対応したので、Ubuntu や Debian であれば、2016年から2017年までには 2.12 を利用できるようになるでしょう。 国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる ([偽キリル文字](http://ja.wikipedia.org/wiki/%E5%81%BD%E3%82%AD%E3%83%AA%E3%83%AB%E6%96%87%E5%AD%97)) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。ドメインの偽装は2005年ごろに社会問題になり、さまざまなブラウザーが対策に追われました。 偽装対策の例として Gmail を挙げます。 Gmail の[仕様](https://support.google.com/mail/answer/81126#format)では、なりすまし対策としてメールアドレスは UTS#39 の「[Highly Restrictive](http://www.unicode.org/reports/tr39/#Restriction_Level_Detection)」を満たすことを求めています。具体的には、それぞれの文字の Unicode スクリプトプロパティが1種類もしくは複数の種類の場合、指定した組み合わせであることを要求します。 日本語のドメインを対象とするのであれば、スクリプトプロパティの組み合わせは Latin、Han、Hiragana、Katakana で構成されなければなりません。ほかに認められる複数の組み合わせの例は Latin、Han、Bopomofo (台湾で使われる注音符号) もしくは Latin + Han + Hangul です。 Unicode スクリプトプロパティの判定には PCRE を使うか、unicode.org で配布されている [Scripts.txt](http://www.unicode.org/Public/7.0.0/ucd/Scripts.txt) をもとに判定コードを自前で用意する必要があります。 ほかに、ドメイン名登録業サービスで登録可能な文字であるかどうかを判定するには準拠する IDNA のバージョンによりますので IDNA の仕様書を調べる必要があります。IDNA2003 であれば参照される Unicode のバージョンは 3.2 です。IANA は国際化ドメインに許可される文字のテーブルを配布しています ([Repository of IDN Practices](https://www.iana.org/domains/idn-tables))。 許可する文字テーブルをもとに判定する方法を採用しているのが ZF2 の Validator\EmailAddress です (判定のためのテーブルの[ディレクトリ](https://github.com/zendframework/zf2/tree/master/library/Zend/Validator/Hostname))。ただし、どこのリポジトリから採用したテーブルなのか明記されていないのと、2014年の時点では、ローカルパートは UTF-8 に対応していません。