Это нормально что почту регистратора можно подменить?
Похоже, что вы только что открыли для себя принципы работы SMTP.
Дело не в том, у кого какая защита, а в том, что SMTP - древний протокол, который как и изначальный HTTP не предусматривал особой защиты сам по себе.
Каждый почтовый сервер сам решает, как он сражается против спама и подлога. Гугл видимо не особо парится.
Для защиты адреса отправителя от подделок используется протокол DMARC. То, возможно ли подделать адрес отправителя, зависит от того, установил ли владелец домена DMARC-политику для своего домена и какая это политика. Если политика reject - письма без авторизации приниматься не будут, quarantine - будут попадать в спам.