XSS убрал, с капчей все в порядке, просто было не понятно, когда сканер ругается на капчу, а когда на имя сайта.
Предложения, сделанные выше, будут реализованы после интегрирования скрипта в друпал.