А если записывать куки зашифрованные через ^math:crypt, так ведь пойдет? Обновление картинки я решил так - меняю каждый раз имя файла картинки, а старый удаляю. Но все равно пришлось использовать $response:refresh. А насчет двух одновременных процессов построения капчи - поставить блокировку ^file:lock в нужном месте, так ведь?