Связка target="_blank" без rel="noopener" исторически позволяла новой вкладке менять window.opener — tab-nabbing.
Современные браузеры изолируют opener, но rel="noopener noreferrer" остаётся best practice и скрывает referrer при необходимости.
- [rel=noopener — MDN](https://developer.mozilla.org/en-US/docs/Web/HTML/Attributes/rel/noopener) — Поведение noopener.
- [Reverse tabnabbing — OWASP](https://owasp.org/www-community/attacks/Reverse_Tabnabbing) — Описание атаки.
---
## CMS
В WYSIWYG-редакторах включите автоматическое добавление rel для внешних URL.
Для партнёров, которым нужен referrer, используйте только noopener без noreferrer.