А так ли уж нужна для комментариев хранить емейлы и, тем более, IP-адреса? Может, это все там было не потому, что это нужно, а только потому, что в Друпале так из коробки?

Написать простейшую систему комментариев можно и без всего этого. Отправлять на скрипт, который перегенерит ту самую статику, а подключать сгенерированное можно через тот же SSI.

Да, можно сказать, будут спамить. Но когда будут - вот тогда и решать этот вопрос. По моей практике, на таких сайтиках от нецелевого спама защищают самые примитивнейшие меры (типа input-а с name="email" и style="display: none", заполненность которого - четкий признак спамбота), а от целевого спасает принцип Неуловимого Джо.