Tengo un sitio, foo.com, que hace solicitudes ajax a bar.foo.com. Esto funcionara.

Además, si foo es una conexión segura, https, ¿es necesario que bar.foo.com también sea https? ¿Pueden estos dos sitios usar diferentes certificados?