Главная мысль
<a href="https://example.com" target="_blank" rel="noopener noreferrer">Сайт</a>
target="_blank" без rel="noopener" — риск через window.opener. Для внутренних переходов чаще достаточно той же вкладки.
Итог: новая вкладка наружу = target="_blank" + rel="noopener".
