Ну, 2), вероятно, лучше с точки зрения пользователя, потому что
- гарантирует, что домены совпадают,
- браузеры поднимают очень видимый флаг при использовании httpsТаким образом, пользователь не может пропустить это все равно.
От разработчика POV, 1) может иметь смысл, если компания хочет собрать все конфиденциальные транзакции в одном домене, обслуживаемом защищенным сервером (однако это можетдостигается также путем перенаправления, поэтому 1) может быть реализовано с сохранением 2) в качестве входного)