rel=noopener noreferrer: Thực hành bảo mật cho các liên kết bên ngoài
Nhiều người dùng WordPress có thể nhận thấy các đoạn mã bí ẩn xuất hiện trong liên kết bên ngoài khi kiểm tra HTML của trang web. Mã “rel="noopener noreferrer"” thường xuất hiện mà không có bất kỳ hành động trực tiếp nào từ chủ sở hữu trang web, làm dấy lên câu hỏi về mục đích của nó và những tác động tiềm ẩn của SEO.
Những thẻ được thêm tự động này không có gì đáng lo ngại theo góc nhìn SEO. WordPress triển khai các thuộc tính này trên các liên kết bên ngoài trong một số trường hợp nhất định như một thông lệ chuẩn. Các công cụ tìm kiếm hiểu đầy đủ các thuộc tính này và chúng không ảnh hưởng tiêu cực đến cách trang web của bạn được lập chỉ mục hoặc xếp hạng trong kết quả tìm kiếm.
Những gì là rel="noopenernoreferrer"?
rel="noopener noreferrer" là một thuộc tính HTML được thiết kế riêng cho các liên kết ngoài trên trang web của bạn. Thuộc tính này thực sự bao gồm hai thành phần riêng biệt hoạt động độc lập:
- rel="noopener"
- rel="không giới thiệu"
Các thành phần này ảnh hưởng đến cách các trang web bên ngoài tương tác với trang web của bạn, mặc dù mỗi thành phần có mục đích riêng biệt.
Khi triển khai thuộc tính này, nó sẽ xuất hiện trong mã HTML của bạn như sau:
<a href="https://externalsite.com" target="_blank" rel="noopener noreferrer">
Kiểm tra xem liên kết của bạn có chứa mã này hay không rất đơn giản. Bạn có thể mở trình biên tập mã của trang web và sử dụng chức năng “Tìm” của trình duyệt để tìm kiếm rel="noopener noreferrer"hoặc xem bất kỳ trang web nào, nhấp chuột phải, chọn “Kiểm tra” và tìm kiếm mã trong bảng điều khiển dành cho nhà phát triển.
Phương pháp thứ hai tỏ ra đặc biệt hữu ích khi kiểm tra các trang web mà bạn không sở hữu hoặc quản lý. Điều này cho phép các nhà phát triển và chủ sở hữu trang web xác minh việc triển khai đúng các thuộc tính bảo mật trên các liên kết bên ngoài trên khắp các trang web của họ.
Những gì là rel="noreferrer"?
Thuộc tính rel="noreferrer" đóng vai trò là cơ chế bảo mật trong các liên kết HTML, ngăn chặn việc truyền thông tin giới thiệu khi khách truy cập điều hướng từ trang web của bạn sang trang web khác. Khi được triển khai, thuộc tính HTML này sẽ ẩn trang web của bạn là nguồn lưu lượng truy cập trong các công cụ phân tích của trang web đích.
Thông thường, khi ai đó nhấp vào liên kết trên trang web của bạn, trang đích có thể xác định tên miền của bạn là nguồn lưu lượng truy cập. Khi thêm rel="noreferrer" vào liên kết của bạn, nhận dạng này sẽ bị chặn. Thay vì xuất hiện dưới dạng lưu lượng truy cập giới thiệu trong các nền tảng phân tích như Google Analytics, những khách truy cập này sẽ đăng ký dưới dạng lưu lượng truy cập trực tiếp.
Thuộc tính này có thể được triển khai theo hai cách:
<a href="https://examplesite.com" target="_blank" rel="noreferrer">
Hoặc không mở trong tab mới:
<a href="https://examplesite.com" rel="noreferrer">
Thông tin giới thiệu ẩn này có thể giải thích sự gia tăng đột biến về lưu lượng truy cập trực tiếp mà một số chủ sở hữu trang web nhận thấy trong phân tích của họ.
Khi nào sử dụng rel="noreferrer" trên liên kết ngoài
Có một số lý do chiến lược để triển khai thuộc tính rel="noreferrer" trên các liên kết đi của bạn:
- Liên kết đối thủ cạnh tranh: Khi liên kết đến đối thủ cạnh tranh trong khi vẫn muốn giữ dữ liệu giới thiệu riêng
- Các trang web không đáng tin cậy: Khi liên kết đến các trang web mà bạn không hoàn toàn tin tưởng
- Mối quan tâm về bảo mật: Khi bạn muốn duy trì quyền riêng tư của người dùng bằng cách không chia sẻ thông tin nguồn lưu lượng truy cập
Việc thêm thuộc tính này rất đơn giản—chỉ cần bao gồm rel="noreferrer" trong liên kết HTML của bạn như được hiển thị ở trên. Nếu bạn đã mở liên kết ngoài trong các tab mới, việc kết hợp mã này chỉ cần nỗ lực bổ sung tối thiểu.
Những gì là rel="noopener"?
Thuộc tính rel="noopener" đóng vai trò là biện pháp bảo mật quan trọng cho các trang web sử dụng liên kết bên ngoài. Thuộc tính HTML này giúp bảo vệ trang web của bạn khỏi một vectơ tấn công tinh vi nhắm vào người dùng thông qua các trang được liên kết. Khi được triển khai đúng cách, nó sẽ ngăn các trang web độc hại truy cập vào trang của bạn thông qua thuộc tính JavaScript window.opener.
Bảo vệ trang web của bạn khỏi Tabnapping ngược
Reverse tabnapping là mối đe dọa bảo mật đáng kể xảy ra khi liên kết mở trong các tab mới. Nếu không được bảo vệ đúng cách, kẻ tấn công có thể khai thác mối quan hệ window.opener để chuyển hướng trang gốc của bạn đến một trang web gian lận được thiết kế để đánh cắp thông tin.
Cuộc tấn công này đặc biệt nguy hiểm vì người dùng thường tin tưởng vào các trang họ đã truy cập. Khi họ quay lại trang web mà họ tin là hợp pháp của bạn, họ có thể vô tình cung cấp thông tin nhạy cảm cho kẻ tấn công.
Cuộc tấn công diễn ra như thế nào:
- Người dùng nhấp vào liên kết bên ngoài trên trang web của bạn mở ra trong một tab mới
- Nội dung của tab mới bao gồm mã độc hại
- Mã này sử dụng window.opener để chuyển hướng trang gốc của bạn
- Khi người dùng quay lại tab ban đầu, họ lại tìm thấy một trang web lừa đảo
May mắn thay, việc thêm rel="noopener" vào các liên kết ngoài sẽ phá vỡ kết nối này, ngăn không cho trang mới thao túng trang gốc của bạn.
Khi nào sử dụng rel="noopener" với liên kết nội bộ
Đối với các liên kết đến các trang trong tên miền của riêng bạn, rel="noopener" thường không cần thiết. Liên kết nội bộ gây ra rủi ro bảo mật tối thiểu vì bạn kiểm soát cả trang nguồn và trang đích.
Cân nhắc quan trọng:
- WordPress tự động thêm rel="noopener" vào các liên kết ngoài mở trong các tab mới
- Cần phải triển khai thủ công trên các nền tảng không phải WordPress
- Thuộc tính rel="noreferrer" phục vụ một mục đích khác và có thể ảnh hưởng đến việc theo dõi phân tích
Hãy nhớ rằng các liên kết nội bộ không yêu cầu các thuộc tính bảo mật này vì chúng điều hướng trong môi trường được kiểm soát của bạn. Tập trung vào việc áp dụng rel="noopener" cho các liên kết bên ngoài, đặc biệt là các liên kết trỏ đến các trang web mà bạn không hoàn toàn tin tưởng hoặc kiểm soát.
Sử dụng rel="noopener noreferrer" trong WordPress
WordPress tự động thêm các thuộc tính bảo mật vào các liên kết bên ngoài khi bạn thiết lập chúng thành mở trong tab mớis. Hành vi này giúp bảo vệ trang web của bạn trong khi vẫn duy trì trải nghiệm người dùng tốt. Khi khách truy cập nhấp vào các liên kết này, họ vẫn ở trên trang web của bạn trong khi nội dung mới được tải riêng.
Sự khác biệt về mã là đáng kể. Một liên kết ngoài chuẩn trông như sau:
<a href="https://examplesite.com">Example Link</a>
Nhưng khi bạn bật tùy chọn “mở trong tab mới”, WordPress sẽ thay đổi thành:
<a href="https://examplesite.com" target="_blank" rel="noopener noreferrer">Example Link</a>
target="_blank" hướng dẫn mở tab mới, trong khi rel thuộc tính cung cấp các lợi ích bảo mật quan trọng. Bạn có thể xác minh các thuộc tính này bằng cách kiểm tra bất kỳ HTML nào của liên kết ngoài trên các trang đã xuất bản của bạn.
Bạn có thể loại bỏ nó không?
Việc xóa các thuộc tính này rất đơn giản nếu bạn không ngại liên kết mở trong cùng một tab. Chỉ cần bỏ chọn tùy chọn "mở trong tab mới" trong trình chỉnh sửa WordPress và WordPress sẽ tạo liên kết chuẩn mà không có các thuộc tính bổ sung.
Tuy vậy, việc chỉ xóa một phần mã trong khi vẫn giữ các liên kết mở trong các tab mới là một thách thức lớn hơn. WordPress tự động thêm các thuộc tính này vì lý do bảo mật, không có nút chuyển đổi tích hợp.
Bạn có thể thử xóa thủ công noreferrer phần thông qua trình biên tập mã, cho phép trang web đích xem trang web của bạn là người giới thiệu trong phân tích của họ. Quá trình này bao gồm:
- Mở trình soạn thảo mã WordPress
- Xác định vị trí liên kết HTML cụ thể
- Chỉnh sửa các thuộc tính trực tiếp
noopener Tuy nhiên, thuộc tính này khó xóa vĩnh viễn hơn nhiều. Ngay cả sau khi xóa thủ công, WordPress thường sẽ thêm lại khi bạn xuất bản hoặc cập nhật trang. Sự tồn tại này là do noopener cung cấp khả năng bảo vệ quan trọng chống lại các lỗ hổng bảo mật tiềm ẩn.
Trong trường hợp này, WordPress ưu tiên bảo mật hơn là tùy chỉnh hoàn toàn.
Đối với những người quyết tâm thay đổi hành vi này, các giải pháp nâng cao bao gồm mã tùy chỉnh trong chủ đề của bạn hoặc các plugin chuyên dụng, mặc dù cách tiếp cận này không được khuyến khích đối với hầu hết người dùng do những tác động về bảo mật.
Hầu hết các trình duyệt hiện nay đều bao gồm tính năng bảo vệ Noopener tự động
Tính đến năm 2025, phần lớn các trình duyệt web phổ biến đã triển khai bảo vệ "noopener" tự động cho các liên kết bên ngoài, làm giảm tính cấp thiết phải triển khai thủ công của các nhà phát triển. Sự phát triển bảo mật này bắt đầu với Safari vào năm 2018, tạo tiền lệ cho các trình duyệt khác làm theo.
Firefox đã tham gia sáng kiến bảo mật này vào tháng 2020 năm 2021, bổ sung thêm tính năng bảo vệ tự động chống lại các cuộc tấn công thao túng cửa sổ tiềm ẩn. Sự thay đổi đáng kể nhất diễn ra vào đầu năm XNUMX, khi tất cả các trình duyệt dựa trên Chromium—bao gồm Chrome, Edge và Brave—đã tích hợp tính năng này vào tiêu chuẩn của họ giao thức bảo mật.
Dòng thời gian của trình duyệt cho Noopener tự động:
- Safari: 2018
- Firefox: Tháng 2020 năm XNUMX
- Trình duyệt Chromium (Chrome, Edge, Brave): Đầu năm 2021
Sự bảo vệ ở cấp độ trình duyệt này tạo ra một mạng lưới an toàn quan trọng, ngăn chặn các trang web độc hại thao túng trang gốc thông qua window.opener bất động sản. Mặc dù có sự tiến bộ này, các nhà phát triển web vẫn nên tiếp tục triển khai rel="noopener" thủ công vì hai lý do chính:
- Để bảo vệ người dùng các trình duyệt ít phổ biến hơn
- Để duy trì các hoạt động bảo mật phòng thủ chuyên sâu
Một tỷ lệ nhỏ người dùng internet trên các trình duyệt thay thế vẫn dễ bị tấn công nếu không có biện pháp bảo vệ rõ ràng trong mã của bạn.
Hãy nói chuyện thành công 🏆
Hãy gọi cho chúng tôi ngay hôm nay theo số 1800 840 999 để bắt đầu.
Lorem ipsum dolor ngồi amet, consitetur adipiscing elit. Ut elit Tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.