Eu tenho um site, foo.com, que faz solicitações de ajax para bar.foo.com. Isso vai funcionar.

Além disso, se foo for uma conexão segura, https, o bar.foo.com também precisa ser https? Esses dois sites podem usar certificados diferentes?