Перед адресом сайта лишние символы

сделать на php или в .htaccess валидацию доменов. если домен не из вашего белого списка то делать редирект на какой нибудь домен.

И что выдаётся по этим адресам?
Сайты на VDS размещены? Кто настраивал сервер?

У вас все поддомены управляются из одного каталога?

Да

В robots.php использую, 

$server = $_SERVER['SERVER_NAME'];

$text =  "User-agent: *

Host: https://$_SERVER[HTTP_HOST]

Sitemap: https://$_SERVER[HTTP_HOST]/index.php?route=extension/feed/fx_sitemap&multi=off 

чтобы поисковая выдача была по разным разным городам

.htaccess

RewriteBase /

#RewriteCond %{REQUEST_FILENAME} !^robots.(txt|php)$ [NC]

RewriteCond %{REQUEST_URI} !robots.txt

RewriteCond %{REQUEST_URI} !robots.php

RewriteCond %{HTTP_HOST} ^www\.(.*)$ [NC]

RewriteRule ^(.*)$ https://%1/$1 [R=301,L]

RewriteRule ^robots.txt$ robots.php [L]

RewriteCond %{HTTP_HOST} ^www.site.ru$ [NC]

RewriteRule ^(.*)$ http:// site.ru /$1 [R=301,L]

RewriteCond %{THE_REQUEST} ^[A-Z]{3,9}\ /index\ HTTP/ 

RewriteRule ^index\.html$ / [R=301,L] 

RewriteCond %{THE_REQUEST} ^[A-Z]{3,9}\ /index\.php\ HTTP/ 

RewriteRule ^index\.php$ / [R=301,L]

RewriteCond %{QUERY_STRING} ^route=common/home$

RewriteCond %{REQUEST_METHOD} !^POST$

RewriteRule ^index\.php$ http://%{HTTP_HOST}? [R=301,L]

RewriteCond %{QUERY_STRING} ^(.*)&?page=1$ 

RewriteRule ^(.*)/?$ /$1?%1%2 [R=301,L] #remove page=1 from url

RewriteRule ^sitemap.xml$  index.php?route=extension/feed/fx_sitemap&multi=off [L]

RewriteRule ^googlebase.xml$ index.php?route=extension/feed/google_base [L]

RewriteRule ^system/storage/(.*) index.php?route=error/not_found [L]

RewriteCond %{REQUEST_FILENAME} !-f

RewriteCond %{REQUEST_FILENAME} !-d

RewriteCond %{REQUEST_URI} !.*\.(ico|gif|jpg|jpeg|png|js|css)

RewriteRule ^([^?]*) index.php?_route_=$1 [L,QSA]

Движок ocstore 3

Нужен список допустимых имен хостов. Иначе в ваш "мультисайт" могут передавать все что угодно. И не совсем понятно, какова будет реакция. Достаточно страницы 404 по всем адресам на отсутствующих в списке хостах.

Коррекцию www-имен лучше не делать для неизвестных хостов. Но тогда переадресацию нужно выполнять в скрипте, который работает со списком допустимых имен, а не в конфигурационном файле. И не забывайте, что site.ru. (с точкой на конце) является корректным по всем канонам алиасом, но при этом не считается дублем для поисковых систем. Из моих мультисайтовых систем:

$h = strtolower(short($_SERVER['HTTP_HOST']));

$mode = empty($_SERVER['HTTPS']) ? 0 : BITS_HTTPS;

if (strncmp($h, 'www.', 4) == 0)
{
    $h = substr($h, 4);
    $mode |= BITS_WWW;
}

short обрезает в конце точку (или любой другой символ, переданный вторым аргументом).