Que représentent les attributs rel=noopener et rel=noreferrer

Signification des attributs rel=noopener et rel=noreferrer

Les attributs rel=noopener et rel=noreferrer ont été intégrés dans WordPress depuis sa mise à jour vers la version 4.7.4 pour tous les liens en target blank.

Rel=noopener

Le mot-clé noopener de l'attribut rel est une mesure de sécurité ajoutée par WordPress pour corriger une faille de sécurité observée dans le cadre de la création de liens devant s'ouvrir dans une nouvelle fenêtre de navigateur. En effet, par le passé, lorsque ce type de lien était créé vers un site malveillant, ce dernier pouvait modifier l'URL de la page d'origine avec la window.opener JavaScript et conduire les utilisateurs vers une fausse page. Celle-ci peut être utilisée pour voler les informations sensibles des utilisateurs ou pour diffuser des codes malveillants.

On parle de reverse tabnabbing, ou attaque de phishing par tabulation inversée. Avec l'attribut rel=noopener, la page externe peut être désormais ouverte sans que la ressource distante puisse profiter de cette fonctionnalité JavaScript. La valeur de window.opener est définie sur null, ce qui empêche toute tentative de manipulation de l'URL de la page parente (la page de provenance du lien).

Une note du site Mozilla Developer Network (MDN), indique que les liens en target=_blank empêchent dorénavant de façon implicite la mise en place de window.opener, même en l'absence du rel=noopener. Cet attribut demeure cependant une réelle mesure sécuritaire puisque tous les navigateurs (par exemple Opera) ne sont pas compatibles avec cette prise en charge implicite. Sa mise en place reste aussi une couche de protection supplémentaire, car tous les utilisateurs ne se connectent pas toujours avec des navigateurs à jour supportant les dernières mesures de sécurité.

Rel=noreferrer

Le mot-clé noreferrer joue un rôle similaire, auquel s'ajoute une fonction de protection de la confidentialité des sites. Il empêche les sites qui reçoivent le lien d'obtenir des informations sur l'origine du trafic. En d'autres termes, lorsqu'un lien externe de votre site contient l'attribut rel=noreferrer, le bénéficiaire ne peut pas identifier dans son outil de web analytics la provenance du trafic que lui apporte ce backlink.

Il s'affichera en tant que trafic direct dans Google Analytics. Cet attribut peut poser un problème, particulièrement dans le cadre d'un partenariat pour créer des liens vers d'autres sites web ou en obtenir. Il a été associé à l'attribut noopener par WordPress comme une couche supplémentaire de sécurité, car tous les navigateurs ne prenaient pas en charge

Comment vérifier et gérer ces deux attributs ?

Pour vérifier ces deux attributs sur votre site, il vous suffit de vous rendre sur toute page à partir de laquelle vous avez créé un lien externe devant s'ouvrir dans un nouvel onglet. Ensuite, vous devez faire un clic droit sur le lien concerné et cliquer sur « Inspecter » (Google Chrome ou Microsoft Edge) pour accéder au code HTML de la page. Vous pouvez alors examiner la balise HTML du lien en target=_blank pour vérifier la présence des attributs rel=noopener, rel=noreferrer.

Si le mot-clé nooepener est fortement recommandé pour la sécurité de votre site web, l'importance de l'attribut noreferrer qui s'y ajoute reste quant à elle discutable. En effet, ce dernier peut poser des problèmes pour le tracking. Si vous décidez de l'enlever, il existe des plugins WordPress qui peuvent vous aider à supprimer toutes les mentions noreferrer de l'attribut rel des liens en target=_blank sur votre site.

Quelle est la différence avec l'attribut rel=nofollow ?

Il est important de ne confondre aucun de ces attributs avec rel=nofollow qui est un outil très utile en référencement SEO. En effet, lorsque vous ajoutez cet attribut à un lien externe, vous indiquez aux robots des moteurs de recherche de ne pas suivre celui-ci. Il ne joue donc aucun rôle pour la sécurisation de votre site ni pour sa confidentialité. Cet attribut est particulièrement utile lorsque vous souhaitez créer un lien vers un site web sans pour autant le faire considérer par Google comme un vote de confiance de votre part.

Il n'y a alors aucune transmission de jus de lien ou PageRank. Avant l'avènement de l'attribut rel=sponsored (dont le fonctionnement est similaire), Google recommandait aux gestionnaires de site d'utiliser le nofollow pour les liens sponsorisés ou achetés sur leur site. Dans la pratique, il est plutôt utilisé sur les liens provenant des sections « commentaires » des blogs, des réseaux sociaux, des forums. Il existe également un attribut rel=ugc spécialement conçu pour bloquer la transmission du jus SEO vers tout lien se trouvant dans du contenu généré par les utilisateurs.

Un bref rappel de la notion de PageRank

Le PageRank est un algorithme utilisé par Google pour classer les pages web en fonction de leur popularité. Il fonctionne selon le principe suivant : plus une page web reçoit des liens depuis d'autres pages pertinentes, plus elle est considérée comme importante. Autrement dit, plus une page reçoit des liens de pages de qualité, plus elle a de chance d'apparaître en haut des résultats de recherche Google.

Au départ, la valeur de cette métrique était visible pour chaque page d'un site via le Toolbar PageRank, mais il a été supprimé en 2016 (dernière mise à jour en décembre 2013). Le terme PageRank est aussi parfois utilisé en SEO pour désigner le jus de référencement qui est transmis par un site à un autre lorsqu'il crée un lien externe vers ce dernier. Chez SEMJuice, nous accompagnons les propriétaires de site qui souhaitent accroître leur visibilité sur Google dans la mise en place de leur stratégie de liens. Les campagnes de netlinking que nous élaborons permettent d'obtenir des backlinks naturels et de qualité, posés avec grand soin.

Les attributs rel=noopener et rel=noreferrer sont ainsi des éléments que WordPress ajoute automatiquement depuis la version 4.7.4 du CMS à tous les liens en target blank. Ils permettent d'éviter les risques de phishing par tabulation inversée et d'empêcher le site bénéficiaire du lien de voir l'origine du trafic que lui apporte celui-ci dans Google Analytics (noreferrer). Il est possible de supprimer ce dernier grâce à des plugins dédiés, mais vous devez faire attention à ne pas rendre votre site vulnérable aux attaques malveillantes.