Вы правы - использование закрытого ключа в вашем приложении никого не сильно замедлит, независимо от того, как сильно вы его запутываете. Также неясно в ваших метаданных WS.
Вероятно, лучшим способом (если вы не можете выполнить аутентификацию) было бы регулировать по IP (один комментарий на интервал X). Просто сохраните в памяти словарь клиентских IP-адресов и последний раз, когда вы увидели оттуда комментарий, и быстро отклоняйте запросы, если они происходят слишком рано. Это, по крайней мере, потребовало бы большого DDOS, чтобы вызвать серьезные проблемы. Ежедневно собирайте словарь для старых записей, чтобы он не рос без ограничений.