Как создать кросс-доменную сессию?

хранить сессии в бд (с)КО

Хранить сессию в БД или в распределенном кэше.

можно посмотреть на CORS

В итоге пришел к такому варианту:
Redis хранит сессию у себя, но отдает ее по куке, привязанной к браузеру, на JAVA она называется JSESSIONID, на PHP PHPSESSIONID. Если заменить в куках второго сайта ID на ID с первого, то фактически на двух доменах сессия будет указывать на один и тот же блок в Redis.

После этого на сайтах достаточно написать защищенную функцию для сменя куки, и в случае нужды отправлять ID с одного сайта на другой. Я это делаю через скрытый iframe.