En fait, le rel n'est pas suffisant et il peut y avoir des cas où le phishing peut encore fonctionner : quand le site est épinglé par exemple. La fonction javascript protège mieux (si javascript est activé bien sûr).

Le mieux est de mettre une classe targetBlank sur les liens que l'on veut ouvrir dans un nouvel onglet

 <a href="monlien" class="targetBlank">Mon lien</a>

et d'ajouter le js suivant :

var targetBlank = document.querySelector('a.targetBlank').addEventListener('click', function(evt) {
evt.preventDefault();
evt.returnValue = false;
openNew(this.href);});

function openNew(url) {
var otherWindow = window.open();
otherWindow.opener = null;
otherWindow.location = url;
}

Comme ça, si js n'est pas activé, le lien s'ouvre normalement. Si js est activé, on est protégé de l'ouverture du nouvel onglet.