¿El uso de SPF/DKIM/DMARC, que es mucho más prolífico ahora que en 2016, no protege contra esto en un grado suficientemente bueno?
Cualquier buen proveedor de correo electrónico (para el usuario) no permitirá que otros usuarios envíen desde direcciones que no les pertenecen y cualquier buen proveedor de correo electrónico o servicio de recepción (para la instancia de Discourse) debería rechazar correos electrónicos que fallen la validación de origen.
Existirán proveedores que no validen la dirección del remitente y/o no configuren registros SPF/etc., pero si un usuario elige usar un proveedor de correo electrónico que no hace nada para protegerse contra la suplantación de identidad, parece razonable que puedan ser suplantados.