Ваши сайты считаются разными из-за того, что herocuapp.com находится в
Public Suffix List.
Баг в Сафари уже давно:
https://developer.apple.com/forums/thread/658688
Самый надёжный способ - отказаться от кук и передавать токен в данных или отдельном заголовке запроса.
