rel=noopener, noreferrer ve nofollow gerçekte ne yapar

Kısa versiyon

Bir bağlantıdaki rel özniteliği, mevcut sayfa ile bağlantı verilen sayfa arasındaki ilişkiyi tanımlar. Kulağa soyut gelebilir, ancak günlük web çalışmalarında üç değer sürekli karşımıza çıkar:

<a href="https://example.com" target="_blank" rel="noopener noreferrer nofollow">
  External resource
</a>

Bu üç token çoğu zaman tek bir şey yapıyormuş gibi birlikte yapıştırılır. Öyle değildir.

• noopener bir tarayıcı güvenliği kontrolüdür.
• noreferrer bir gizlilik ve analitik kontrolüdür.
• nofollow bir arama motoru sinyalidir.

Birlikte kullanılabilirler, ancak her birinin neden orada olduğunu bilmelisiniz. Tüm giden bağlantılara üçünü birden eklemek her zaman yanlış değildir, ama genellikle tembelliktir.

rel=noopener reverse tabnabbing’i önler

rel="noopener", tarayıcıya yeni açılan sayfaya window.opener üzerinden özgün sayfaya erişim vermemesini söyler.

Bu özellikle bir bağlantıyı target="_blank" kullanarak yeni sekmede veya pencerede açtığınızda önemlidir:

<a href="https://external.example" target="_blank" rel="noopener">
  Open external site
</a>

noopener olmadan hedef sayfa şu şekilde JavaScript çalıştırabilir:

window.opener.location = 'https://phishing.example';

Bu saldırı genellikle reverse tabnabbing olarak adlandırılır. Kullanıcı meşru bir bağlantıya tıklar, başka bir siteye gider ve özgün sekme sessizce sahte bir giriş sayfasına ya da başka bir kötü amaçlı hedefe yönlendirilir.

Modern tarayıcılar bu konuda gelişti. Güncel tarayıcı davranışında target="_blank" genellikle rel="noopener" varmış gibi ele alınır. Bu iyi bir şeydir, ancak açık özniteliği anlamsız yapmaz. Açık noopener hâlâ yararlıdır çünkü:

• niyetinizi belgeler;
• eski veya alışılmadık gezinme ortamlarını korur;
• her gömülü web görünümünün modern bir masaüstü tarayıcı gibi davranmasına güvenmeyi önler;
• kod incelemesini kolaylaştırır.

Yeni sekmede açılan harici bağlantılar için rel="noopener" makul bir varsayılandır.

noopener SEO’yu etkiler mi?

Hayır, anlamlı bir şekilde etkilemez. noopener tarayıcı davranışı içindir. Arama motorlarına bir sayfayı onaylayıp onaylamadığınızı, link değerinin aktarılıp aktarılmaması gerektiğini veya bağlantının ücretli olup olmadığını söylemez.

SEO politikanız noopener değerini bir sıralama yönergesi olarak görüyorsa, politikanın düzenlenmesi gerekir.

rel=noreferrer yönlendiren sayfayı gizler

rel="noreferrer", kullanıcı bağlantıyı takip ettiğinde tarayıcıya Referer HTTP başlığını göndermemesini söyler.

Evet, başlık tarihsel olarak hatalı biçimde Referer diye yazılır. Öznitelik ise noreferrer şeklinde yazılır.

Normalde bir kullanıcı sayfanızdan başka bir siteye giden bağlantıya tıkladığında, hedef site ziyaretin nereden geldiğini gösteren bir referrer değeri alabilir. Sitenizin Referrer-Policy ayarına bağlı olarak bu tam URL, yalnızca origin veya hiçbir şey olabilir.

Örneğin bir hedef şunu görebilir:

Referer: https://www.example.com/pricing?plan=enterprise

veya yalnızca şunu:

Referer: https://www.example.com/

rel="noreferrer" ile tarayıcı bu gezinme için bu başlığı göndermemelidir.

<a href="https://external.example" rel="noreferrer">
  External site
</a>

Pratikte noreferrer, modern tarayıcılarda noopener gibi de davranır. noreferrer kullanıyorsanız, aynı bağlantıda güvenlik için genellikle noopener kullanmanız gerekmez. Yine de birçok ekip açıklık için ikisini birlikte yazar:

<a href="https://external.example" target="_blank" rel="noopener noreferrer">
  External site
</a>

Bu sorun değildir. Gereksiz tekrar içerir, ama okunabilirdir.

noreferrer ne zaman yararlıdır?

Mevcut sayfa URL’sinin hedefe açık edilmemesi gerektiğinde noreferrer kullanın.

Yaygın örnekler:

• özel panolardan verilen bağlantılar;
• yayımlanmamış önizleme ortamlarından verilen bağlantılar;
• hassas sorgu parametreleri içeren URL’lerden verilen bağlantılar;
• yönetici araçları, moderasyon kuyrukları, CRM ekranları veya müşteri destek sistemlerindeki bağlantılar;
• hedefin tam kaynak sayfayı bilmemesi gereken bağlantılar.

Son nokta her zaman gizlilikle ilgili değildir. Bazen veri minimizasyonuyla ilgilidir. Hedefin yönlendiren URL’yi bilmesi gerekmiyorsa, göndermeyin.

Bu, gizlilik bilincine sahip web tasarımının daha geniş yönelimiyle uyumludur. Tarayıcılar, kullanıcılar ve düzenleyiciler varsayılan olarak daha az ortam verisi göndermeye doğru ilerledi. Bu alanı yeniden değerlendiriyorsanız, 2026’da cookies için ne değişti ve bu konuda ne yapmalı başlıklı makalemiz aynı genel değişimi ele alıyor: daha az görünmez takip, daha bilinçli veri akışları.

Analitik ödünleşimi

noreferrer, bağlantı verdiğiniz site için ilişkilendirmeyi bozabilir. Analitikleri ziyareti referral traffic yerine direct traffic olarak sınıflandırabilir.

Bu öncelikli olarak sizin sorununuz değildir, ancak iş ortaklıklarında, affiliate ilişkilerinde, müşteri yolculuklarında ve dahili çapraz domain ekosistemlerinde önemli olabilir. Pazarlama ekibiniz iş ortağı sitelerin domain’inizden referral traffic görmesini bekliyorsa, genel bir noreferrer kullanımı kafa karışıklığı yaratabilir.

Pek çok sıradan editoryal bağlantı için daha iyi yaklaşım, her yere noreferrer eklemek yerine site genelinde bir Referrer-Policy başlığı ayarlamaktır. Örneğin:

Referrer-Policy: strict-origin-when-cross-origin

Bu politika aynı origin’e yapılan gezinmede tam URL’yi gönderir, güvenli cross-origin hedeflere yalnızca origin’i gönderir ve HTTPS’ten HTTP’ye geçerken referrer göndermez. Birçok site için pratik bir varsayılandır.

Başlıkların production ortamında nasıl davrandığını incelemeniz gerekiyorsa, ham bir HTTP kontrolü çoğu zaman analitik panolarından tahmin yürütmekten daha nettir. Production ortamında yönlendirmeleri ve HTTP başlıklarını debug etmek için küçük bir araç seti içindeki iş akışı, referrer-policy debug süreçlerine doğrudan uygulanır.

rel=nofollow tarayıcılar için değil, arama motorları içindir

rel="nofollow", arama motorlarına bağlantı verilen sayfayı onayladığınızı ima etmek istemediğinizi söyler.

<a href="https://external.example" rel="nofollow">
  User-submitted link
</a>

Başlangıçta nofollow, yorum spam’iyle mücadele etmek için tanıtıldı. Fikir basitti: yorumlardaki bağlantılar sıralama kredisi aktarmıyorsa, spam yapanların blogları ve forumları doldurma motivasyonu azalırdı.

Bugün Google, nofollow değerini mutlak bir yönerge yerine bir ipucu olarak ele alır. Bu ayrım önemlidir. Arama motorlarının bazı bağlamlarda bağlantıyı keşif veya sıralama sistemleri için kullanabileceği anlamına gelir, ancak siz bağlantının normal bir editoryal onay gibi değerlendirilmemesi gerektiğini açıkça işaret etmiş olursunuz.

nofollow ne zaman kullanılmalı?

Bağlantı veriyor ancak hedefe kefil olmak istemiyorsanız nofollow kullanın.

Makul örnekler şunlardır:

• güvenilmeyen kullanıcı tarafından oluşturulmuş bağlantılar;
• herkese açık yorumlar veya profillerdeki bağlantılar;
• kötü davranış örneği olarak anılan sitelere verilen bağlantılar;
• onay değil referans amacıyla eklenen bağlantılar;
• moderasyonun sınırlı olduğu alanlardaki bağlantılar.

Ücretli veya sponsorlu bağlantılar için rel="sponsored" tercih edin. Kullanıcı tarafından oluşturulan içerik için rel="ugc" tercih edin. Gerekirse değerleri birleştirebilirsiniz:

<a href="https://example.com" rel="ugc nofollow">
  User profile link
</a>

Herkese açık formlar, yorumlar, dizinler veya profil sayfaları çalıştırıyorsanız, bağlantı öznitelikleri kötüye kullanım probleminin yalnızca bir parçasıdır. Spam genellikle gönderim akışında daha erken başlar. İletişim formunuzun neden en büyük spam yükümlülüğünüz olduğu konusunda ayrı bir incelememiz var; aynı ders burada da geçerlidir: zayıf moderasyonu telafi etmesi için nofollow değerine güvenmeyin.

nofollow ne yapmaz?

nofollow, kullanıcıların bağlantıya tıklamasını engellemez. Tarayıcının referrer göndermesini engellemez. Hedefi görünümden gizlemez. target="_blank" güvenliğini sağlamaz.

Ayrıca bir URL’nin asla crawl edilmeyeceğini garanti etmez. Arama motorları URL’yi başka bir yerde bulursa yine crawl edebilir. Dizinlenmeyi önlemeniz gerekiyorsa, başka birinin bağlantısındaki nofollow özniteliği yerine hedef sayfada noindex gibi uygun robots kontrollerini kullanın.

Yaygın kombinasyonlar

Yeni sekmede açılan harici bağlantı

<a href="https://external.example" target="_blank" rel="noopener">
  External resource
</a>

Bu temel düzeydir. Yeni bir gezinme bağlamı açmanın yarattığı güvenlik sorununu ele alır.

Referrer verisi göndermek de istemiyorsanız:

<a href="https://external.example" target="_blank" rel="noopener noreferrer">
  External resource
</a>

Ücretli yerleştirme

<a href="https://sponsor.example" rel="sponsored">
  Sponsor site
</a>

Yeni sekmede açılıyorsa noopener ekleyebilirsiniz:

<a href="https://sponsor.example" target="_blank" rel="sponsored noopener">
  Sponsor site
</a>

Ücretli bağlantıları açıklamak için belirsiz bir ikame olarak nofollow kullanmayın. Arama motorlarının artık bunun için daha spesifik bir değeri var: sponsored.

Kullanıcı tarafından oluşturulan bağlantı

<a href="https://user-submitted.example" rel="ugc nofollow">
  User-submitted site
</a>

Bu, arama motorlarına bağlantının bir kullanıcı tarafından eklendiğini ve normal bir editoryal oy gibi değerlendirilmemesi gerektiğini söyler.

Dahili bağlantılar

Çoğu dahili bağlantı bu değerlerin hiçbirine ihtiyaç duymaz.

Rutin bir sculpting taktiği olarak dahili bağlantılara nofollow eklemeyin. Genellikle faydadan çok kafa karışıklığı yaratır. Bir sayfanın dizinlenmemesi gerekiyorsa, bunu doğrudan ele alın. Bir sayfanın crawl edilmemesi gerekiyorsa, robots kuralları, kimlik doğrulama, canonicalization ve site mimarisi üzerine dikkatle düşünün.

Yeni sekmede açılan dahili bağlantılar için noopener hâlâ zararsızdır ve uygun olabilir. Ancak daha iyi soru, dahili bağlantının neden yeni bir sekmeye ihtiyaç duyduğudur.

Ekipler için pratik bir politika

Basit bir kurum içi stil çoğu hatayı önler:

1. Özellikle harici bağlantılar olmak üzere target="_blank" içeren bağlantılara rel="noopener" ekleyin.
2. noreferrer değerini yalnızca kaynak URL’yi gizlemek bilinçli bir tercih olduğunda ekleyin.
3. nofollow değerini yalnızca hedefi onaylamadığınızda ekleyin.
4. Ücretli bağlantılar için sponsored, kullanıcı tarafından gönderilen bağlantılar için ugc kullanın.
5. Bağlantı özniteliklerini erişim kontrolü, moderasyon veya dizinleme kurallarının yerine kullanmayın.

Önemli olan niyettir. rel içindeki her token belirli bir soruya yanıt vermelidir:

• Güvenlik: yeni sayfa opener’dan izole edilmeli mi?
• Gizlilik: hedef referrer bilgisi almalı mı?
• SEO: bu bağlantıyı editoryal bir referans olarak onaylıyor muyuz?

Ekipte kimse bu sorulara yanıt veremiyorsa, öznitelik muhtemelen cargo cult HTML’dir.

Ne olduğunu nasıl test edebilirsiniz?

noopener için bağlantıyı açın ve hedefin window.opener erişimi olup olmadığını kontrol edin. Kontrollü bir test sayfasında, noopener etkinken window.opener değeri null olmalıdır.

noreferrer için hedef tarafındaki ağ isteğini inceleyin veya test ortamında bir request logger kullanın. Browser DevTools giden istek başlıklarını gösterebilir, ancak sunucu tarafı logları çoğu zaman daha güvenilirdir.

nofollow için test daha az anlıktır, çünkü bu bir tarayıcı davranışı değil, arama motoru yorumudur. En iyi kontrolünüz kaynak incelemesidir: render edilmiş HTML’nin beklenen rel değerini içerdiğini doğrulayın. Frontend framework’ünüz bağlantıları yeniden yazıyorsa, yalnızca template’i değil nihai DOM’u inceleyin.

Sonuç

Bu öznitelikler küçüktür, ancak güvenlik, gizlilik ve SEO’nun kesişiminde yer alırlar. Onları birbirinin yerine kullanılabilir görmek kötü alışkanlıklar yaratır.

Yeni sekme bağlantılarında noopener değerini cömertçe kullanın. Referrer gizliliği önemli olduğunda noreferrer değerini bilinçli kullanın. Onay hakkında arama odaklı bir ifade verdiğinizde nofollow kullanın. Bir bağlantı ücretli veya kullanıcı tarafından oluşturulmuşsa, daha spesifik modern değerleri kullanın: sponsored ve ugc.

Çoğu site için bu yeterlidir. Amaç her bağlantıyı süslemek değildir. Amaç, her bağlantının tarayıcıya ve arama motorlarına tam olarak bilmeleri gereken şeyi söylemesini sağlamaktır.