Permitir que apenas não administradores enviem mensagens privadas

Sim, você realmente teria que bloquear o nível de confiança.

Devido à forma como o Discourse é projetado, toda a funcionalidade está disponível via API.