A configuração max oneboxes per post controla o número de oneboxes que podem ser adicionados a uma postagem. A terminologia pode ser confusa aqui, mas um “onebox” é a forma como o Discourse lida com links de uma variedade de fontes. Por exemplo, se o link da barra de endereço do navegador para um vídeo do Youtube ou Vimeo for adicionado em uma linha própria em uma postagem, o Discourse gerará um player de vídeo onebox para o link.
Se você definir max oneboxes per post como 0, os usuários não poderão criar esses tipos de oneboxes.
Acho que o que você está descobrindo é que a configuração não impede que os usuários adicionem elementos iframe às postagens. Para impedir que os usuários adicionem iframes às postagens, remova quaisquer fontes de iframe que estejam listadas na configuração do site allowed iframes. Aqui estão os valores padrão dessa configuração:
