Это должно работать для вас:
SetEnvIf Host ^((?!(toto|tata).+)\.example\.net)$ IS_FORBIDDEN
Чтобы сопоставить заголовок хоста как в верхнем, так и в нижнем регистре, вы можете использовать SetEnvIfNoCase
SetEnvIfNoCase Host ^((?!(toto|tata).+)\.example\.net)$ IS_FORBIDDEN