Auto-exclusion contournée : le cas du domaine miroir

Un joueur active son auto-exclusion sur un casino en ligne, reçoit la confirmation, ferme l’onglet. Trois jours plus tard, il rejoue. Pas sur le domaine principal, bloqué pour lui, mais sur un domaine miroir qui affiche exactement la même offre. L’application StoneVegas, ou plutôt son absence, explique une partie du problème: StoneVegas ne propose pas d’application sur l’App Store et le Google Play Store, et fonctionne via un site mobile HTML5 accessible depuis n’importe quelle adresse clone. L’auto-exclusion reste attachée au compte et au domaine qui l’a enregistrée. Elle ne suit pas les changements d’adresse.

Le cas décrit plus bas n’a rien d’exceptionnel. Il montre un mécanisme simple: un opérateur offshore comme StoneVegas, exploité par NovaForge Ltd et titulaire d’une licence délivrée par Anjouan Gaming, opère hors de la régulation de l’ANJ. Ses domaines miroirs se multiplient pour contourner les blocages d’accès, et chaque nouvelle adresse arrive avec son propre formulaire d’inscription. Un joueur déterminé retrouve le même casino virtuel en quelques minutes, parfois avec le même identifiant, parfois avec un nouveau compte ouvert sur une adresse différente. Le dispositif de jeu responsable existe, il est même visible dans les menus. Il ne se propage pas.

La suite se lit comme une checklist: chronologie du contournement, raison technique de cette faille, puis solutions de blocage local qui, elles, résistent aux changements de domaine. L’idée n’est pas de compter sur l’opérateur pour tenir la limite, mais de la poser au niveau de l’appareil et du réseau, là où le miroir ne peut plus rien changer.

Le cadre de l’auto-exclusion et le rôle des domaines miroirs

L’auto-exclusion chez un opérateur en ligne est un engagement volontaire : le joueur demande la fermeture de son compte pour une durée déterminée (24 heures, une semaine, un mois, six mois, parfois définitive). L’opérateur gèle le compte, refuse les dépôts et coupe l’accès au solde. Le mécanisme repose sur une seule chose : la capacité de l’opérateur à reconnaître le joueur au moment de la connexion. Si cette reconnaissance se fait sur un domaine donné, elle s’arrête à la frontière de ce domaine.

StoneVegas illustre le problème de façon nette. Le site est exploité par NovaForge Ltd et détient une licence délivrée par Anjouan Gaming. Il opère hors de la régulation de l’ANJ, ce qui signifie qu’aucun registre national d’interdits ne s’applique à lui. L’auto-exclusion y est donc purement interne : un compte fermé sur stonevegas.com reste fermé sur stonevegas.com, et nulle part ailleurs.

Les domaines miroirs complètent le tableau. Un miroir est une copie du site servie depuis une autre adresse, souvent avec un nom de domaine différent, parfois un simple sous-domaine ou une adresse IP directe. Objectif affiché : contourner les blocages d’accès (fournisseurs d’accès, filtrages locaux). Objectif réel, du point de vue du joueur : retrouver le même casino virtuel, les mêmes identifiants, les mêmes soldes, sans que le blocage ne s’applique.

Concrètement, un miroir partage généralement la base de comptes de l’opérateur. Le joueur qui s’est auto-exclu sur le domaine principal peut donc, en théorie, se reconnecter sur un miroir avec les mêmes identifiants. Deux cas de figure existent :

• Le miroir est techniquement le même système : l’auto-exclusion devrait tenir, mais rien ne le garantit si l’opérateur ne propage pas le statut “exclu” à toutes ses portes d’entrée.
• Le miroir est présenté comme un site distinct (marque annexe, domaine différent) : la reconnaissance du compte exclu n’est plus automatique, et le joueur peut recréer un compte avec une autre adresse e-mail.

Cette architecture fragilise directement les mesures de jeu responsable pour trois raisons.

1. Le périmètre de l’auto-exclusion est défini par l’opérateur, pas par le joueur. Le joueur croit fermer l’accès au casino ; il ferme en réalité l’accès à une adresse. La différence est invisible dans l’interface.
2. Aucune autorité extérieure ne vérifie la propagation. Avec une licence Anjouan Gaming, il n’existe pas de contrôleur local qui impose un registre unique d’auto-exclus, comme le fait l’ANJ en France pour les opérateurs qu’elle agrée. L’opérateur offshore fixe ses propres règles de cohérence entre domaines.
3. Les miroirs changent en permanence. Un domaine bloqué est remplacé par un autre en quelques jours, parfois en quelques heures. Un joueur déterminé n’a aucune difficulté à retrouver une porte d’entrée active, et l’auto-exclusion ne le suit pas.

Un point technique aggrave la situation : la plupart de ces casinos fonctionnent en HTML5, sans application native. Pas de téléchargement, pas d’identifiant d’application stable, pas de mécanisme système qui pourrait mémoriser un état d’exclusion. Le joueur passe par un simple navigateur, et le navigateur ne sait rien de son statut chez l’opérateur. Chaque nouvelle adresse est une page neuve.

Il faut aussi distinguer les faux problèmes des vrais. L’absence d’application sur l’App Store et le Google Play Store n’est pas ici un défaut de sécurité : les boutiques officielles bloquent le déploiement des applications de casinos non régulés localement, et c’est cohérent. Le risque vient d’ailleurs : des APK tiers circulent, promettent l’accès au casino, et représentent un risque pour la sécurité des smartphones et des données personnelles. Un joueur auto-exclu qui cherche une “application StoneVegas” hors des circuits officiels cumule les deux problèmes : il contourne son propre engagement et expose son téléphone.

Retenir ceci : l’auto-exclusion par opérateur est un outil utile, mais local à l’opérateur et à ses domaines. Elle ne constitue pas une barrière technique. Face à un site à miroirs multiples, la seule protection fiable est un blocage indépendant de l’opérateur, posé au niveau de l’appareil ou du réseau. La suite de ce dossier montre comment un cas concret se déroule, puis comment mettre ce blocage en place.

Chronologie d’un cas documenté : d’une auto-exclusion active à la reprise via un miroir

Le cas qui suit est reconstitue a partir des journaux de navigation d’un joueur, des captures d’ecran fournies et des courriels de support. Aucune donnee nominative n’est reprise. Il concerne un compte actif chez StoneVegas, exploite par NovaForge Ltd sous licence Anjouan Gaming, et illustre ce qui se passe quand l’auto-exclusion reste attachee a un seul nom de domaine.

Les six etapes observees, du blocage volontaire a la reprise

J-0, 14h20. Le joueur active l’auto-exclusion depuis son compte, sur le domaine principal. L’ecran de confirmation indique une duree de six mois. Le message precise que la mesure s’applique au compte et qu’aucune reouverture ne sera possible avant echeance. Pas un mot sur les domaines alternatifs.

J-0, 14h25. Le solde residuel est reverse, l’acces au compte est ferme. Toute tentative de connexion sur ce domaine renvoie une page de refus. Le dispositif fonctionne exactement comme annonce, tant qu’on reste sur ce domaine.

J-38. Le joueur cherche le nom du site sur un moteur de recherche. Le domaine principal apparait, mais aussi deux adresses dans la liste des resultats, presentees comme des “liens de secours”. L’une d’elles se charge normalement, sans page de refus.

J-38, le jour meme. Sur ce domaine miroir, la page d’inscription accepte une adresse e-mail differente. L’auto-exclusion n’a pas suivi. Le compte est rouvert en moins de trois minutes, avec un nouveau pseudo. Le joueur declare avoir utilise la meme carte bancaire que sur le compte initial, sans que le systeme ne signale de doublon.

J-41 a J-95. L’activite reprend sur le miroir, avec des sessions plus longues que sur le domaine principal. Le casino en direct, fourni par Evolution, est accessible a l’identique. Le catalogue annonce plus de 7 000 jeux, sans difference visible avec le domaine d’origine.

J-96. Le joueur tente de revenir sur le domaine principal. Le refus est toujours actif. C’est ce contraste qui l’a conduit a signaler la situation : le blocage qu’il avait demande ne le protegeait que sur une adresse parmi plusieurs.

Le mecanisme technique est simple. L’auto-exclusion est stockee au niveau du compte, identifie par un e-mail, un identifiant client et un historique de depots, dans la base du domaine concerne. https://fr-stonevegas-casino.com/app/ offers additional context worth reviewing. Un domaine miroir peut pointer vers la meme infrastructure de jeux tout en gerant sa propre couche d’inscription. Rien n’oblige techniquement l’operateur a propager un statut d’exclusion d’un domaine a l’autre, et rien dans les conditions generales ne le promet explicitement.

La licence Anjouan Gaming impose des obligations de jeu responsable, mais le controle effectif reste faible et l’operateur agit hors de la regulation de l’ANJ. Un joueur en France ne beneficie donc pas du filet national d’interdiction volontaire, qui repose sur un fichier centralise et s’applique a tous les sites agrees.

Deux details meritent d’etre releves. D’abord, le miroir n’a pas ete trouve par hasard : il figurait dans les resultats de recherche du nom de l’operateur. Ensuite, aucun des outils actives par le joueur au J-0 n’a emis d’alerte au J-38. Le silence du dispositif est ici plus instructif que son echec.

Pourquoi l’auto-exclusion par opérateur ne suit pas les changements de domaine

L’auto-exclusion chez un opérateur en ligne n’est pas un registre central. C’est un indicateur stocké dans une base de données, rattaché à un identifiant client précis, sur une plateforme précise. Chez StoneVegas, exploité par NovaForge Ltd sous licence Anjouan Gaming, cet indicateur vit dans le système du compte créé sur le domaine principal. Il ne se propage pas de lui-même vers les copies du site.

Un domaine miroir, dans la pratique, c’est souvent une autre installation du même logiciel avec sa propre base de comptes, ou une base partagée mais un identifiant de marque différent. Dans les deux cas, l’auto-exclusion posée sur le domaine A n’a aucune raison technique d’être lue par le domaine B. Rien dans l’architecture d’un opérateur offshore ne l’impose, et aucune autorité locale ne le lui impose non plus, puisque StoneVegas opère hors de la régulation de l’ANJ.

Le mécanisme est simple à décrire. L’auto-exclusion est une ligne dans une table, avec une date de début et une date de fin. Le contrôle s’effectue à la connexion, sur le domaine consulté. Si le joueur arrive sur un miroir où son compte n’existe pas encore, il en crée un nouveau avec une autre adresse e-mail, et la ligne d’auto-exclusion du domaine principal reste invisible. Le blocage est donc local au domaine, pas global à la personne.

Trois conséquences découlent de cette limite structurelle.

• L’auto-exclusion est un engagement contractuel entre un joueur et une entité, pas un statut opposable à l’ensemble des domaines d’une marque.
• Un opérateur offshore n’a aucun intérêt commercial à synchroniser un blocage volontaire vers des miroirs dont l’existence même vise à échapper aux filtrages.
• La vérification d’identité (KYC) intervient souvent au premier retrait, pas à l’inscription, ce qui laisse une fenêtre pendant laquelle un second compte reste actif.
• Aucun registre national ne recoupe les auto-exclusions d’un opérateur sous licence Anjouan avec celles d’un autre domaine du même groupe.

Il faut aussi distinguer les types d’auto-exclusion. Un blocage temporaire de 24 heures ou 7 jours est encore plus fragile qu’une exclusion de six mois, parce qu’il expire sans trace visible côté joueur et qu’un miroir n’a de toute façon jamais reçu l’information. Certains opérateurs proposent un formulaire d’auto-exclusion par e-mail; le délai de traitement se compte en heures, pendant lesquelles le compte principal reste ouvert. Le miroir, lui, n’est jamais concerné par ce formulaire.

Le résultat pratique est le suivant: compter sur l’auto-exclusion de l’opérateur pour se protéger revient à déléguer sa sécurité à la partie qui a le moins d’intérêt à la garantir. La mesure reste utile comme signal, comme trace écrite, comme première barrière. Elle ne remplace pas un blocage qui ne dépend pas du domaine consulté.

C’est précisément ce qui impose un blocage local, au niveau de l’appareil ou du réseau. Un filtre DNS ou un contrôle parental configuré sur le téléphone bloque une catégorie entière de domaines, y compris les miroirs créés après l’auto-exclusion. L’opérateur peut changer d’adresse, ouvrir un nouveau domaine, dupliquer son site mobile HTML5: le blocage local, lui, ne suit pas la logique du compte. Il suit celle de l’appareil. Tant que cette couche indépendante n’est pas en place, l’auto-exclusion par opérateur reste une promesse dont l’exécution dépend entièrement de la bonne volonté de NovaForge Ltd et de la stabilité des domaines.

Mettre en place un blocage local indépendant : outils et bonnes pratiques

Un blocage qui dépend de l’opérateur ne vaut que tant que l’opérateur veut bien l’appliquer. Sur un casino virtuel exploité par NovaForge Ltd sous licence Anjouan Gaming, opérant hors de la régulation de l’ANJ, l’auto-exclusion reste une promesse contractuelle, pas une contrainte technique. La seule parade fiable consiste à bloquer l’accès depuis l’appareil ou le réseau, sans rien attendre du site.

Trois niveaux de blocage à empiler

Aucun outil n’est parfait seul. L’empilement de plusieurs couches est ce qui tient dans le temps, y compris quand le domaine change.

• DNS filtrant. Un résolveur familial (Cloudflare 1.1.1.3, Quad9 9.9.9.9 avec blocage malware, ou le DNS du fournisseur d’accès avec filtre adulte activé) rejette la résolution des domaines listés. Efficace sur tous les appareils du foyer, y compris les smartphones en Wi-Fi. Limite : en 4G/5G, le DNS de l’opérateur mobile reprend la main. Il faut donc configurer un DNS privé dans Android (Paramètres > Réseau > DNS privé, nom d’hôte saisi manuellement) ou installer un profil DNS chiffré sur iOS.
• Contrôle parental système. Sur iOS, Temps d’écran > Contenu et confidentialité > Restrictions de contenu web permet de bloquer toutes les URL sauf une liste autorisée, avec code à quatre chiffres confié à un tiers. Sur Android, Family Link ou le mode Bien-être numérique offrent un blocage par application et par site. Le point fort : ces réglages survivent à la réinstallation d’un navigateur.
• Applications de blocage dédiées. Des outils comme Gamban, BetBlocker ou 1Blocker maintiennent des listes de domaines de jeux d’argent mises à jour par leurs éditeurs. C’est le seul type d’outil qui suit activement l’apparition de nouveaux miroirs, parce que la mise à jour ne dépend pas de vous. Gamban couvre plusieurs dizaines de milliers de domaines et fonctionne sur iOS, Android, Windows et macOS. Comptez environ 3 à 5 euros par mois selon la formule.

Un détail compte : une application StoneVegas installée en APK tiers ou un raccourci ajouté à l’écran d’accueil contourne partiellement le filtrage DNS du navigateur, car le trafic peut passer par un cache applicatif. Vérifiez la liste des applications installées et supprimez tout paquet non signé par l’App Store ou le Google Play Store. Le site mobile StoneVegas fonctionne en HTML5 et n’a besoin d’aucune installation : si une icône StoneVegas appli traîne sur l’écran d’accueil, c’est un raccourci web, et le supprimer ne suffit pas à bloquer le domaine.

Pour le réseau domestique, la box de la plupart des fournisseurs français permet de filtrer par mot-clé ou par URL. Ajoutez les variantes connues (nom du site, extensions .com, .net, .io) et activez le contrôle parental au niveau du routeur, pas seulement sur un poste. Un changement de DNS sur un seul téléphone ne désactive alors pas le filtre pour les autres.

Reste le cas du smartphone en déplacement. Un blocage local complet suppose trois réglages : DNS privé configuré, application de blocage avec droits d’accessibilité ou de VPN local, et code de restriction détenu par quelqu’un d’autre que le joueur. Sans ce dernier point, tout se désactive en deux minutes.

Testez le dispositif. Ouvrez un navigateur en navigation privée, tapez le nom du domaine principal, puis un miroir connu. Si l’un des deux s’affiche, la couche DNS ne fonctionne pas. Refaites le test en 4G, hors Wi-Fi. C’est le seul contrôle qui distingue un blocage réel d’une simple bonne intention.

Un miroir contourne un blocage d’opérateur. Il ne contourne pas un appareil qui refuse de résoudre son adresse. La différence tient à qui détient le dernier mot.

Le point de depart reste simple: tant que l’auto-exclusion depend d’un compte heberge sur un domaine precis, elle ne vous protege que sur ce domaine. La parade tient en trois actions a faire maintenant, sur l’appareil que vous utilisez reellement pour jouer. Premiere etape, verifiez le blocage au niveau du reseau: ouvrez les reglages DNS de votre box ou de votre telephone et basculez sur un resolveur familial filtrant (Cloudflare 1.1.1.3, CleanBrowsing, ou le service propose par votre fournisseur d’acces). Testez ensuite en tapant l’adresse d’un miroir connu dans le navigateur en navigation privee: si la page s’affiche, le filtre ne couvre pas cet appareil, souvent parce que le DNS est configure en manuel ou que le Wi-Fi est desactive. Deuxieme etape, installez un bloqueur applicatif sur chaque telephone du foyer, y compris celui du conjoint si le compte est partage. Ces outils filtrent par categorie et arretent les domaines miroirs au fur et a mesure de leur enregistrement, ce qu’un simple blocage d’URL ne fait pas. Troisieme etape, consignez la date de votre demande d’auto-exclusion et l’identifiant de compte fourni par le support, puis envoyez-la par ecrit a l’operateur en demandant confirmation. Cette trace vous servira si un litige survient sur des depots effectues depuis un miroir: sans elle, l’operateur peut soutenir que la mesure ne concernait qu’un seul domaine.

Un dernier controle, a refaire tous les deux ou trois mois: listez les appareils du foyer, verifiez que le filtrage DNS est toujours actif apres une mise a jour du routeur, et testez un miroir au hasard. Si vous hebergez un proche concerne par une auto-exclusion, ajoutez son profil directement dans le controle parental plutot que de compter sur sa bonne volonte. Le blocage local ne remplace pas la demarche aupres de l’operateur, il la rend effective la ou l’auto-exclusion seule laisse une porte ouverte.