Вы все правильно рассуждаете, могу сказать, как еще делают практически все крупные сайты. Если пользователь заходит на страницу, которой требуется авторизация, а информации о ней нет (нету cookie, например), то сначала идет редирект на некий авторизационный домен, а у него уже есть cookie, а он в свою очередь делает редирект обратно и в URL передает некий авторизационный токен для первого домена.
