diff --git a/de/15.9/admin/general-guide.rst b/de/15.9/admin/general-guide.rst
index d2f00d13..a1a93677 100644
--- a/de/15.9/admin/general-guide.rst
+++ b/de/15.9/admin/general-guide.rst
@@ -96,10 +96,10 @@ SSO-Typ
 Gibt den Typ der Einmalanmeldung (Single Sign-On) an.
 
 - **Keine**: SSO nicht verwenden
-- **OpenID Connect**: OpenID Connect verwenden
-- **SAML**: SAML verwenden
-- **SPNEGO**: SPNEGO verwenden
-- **Entra ID**: Microsoft Entra ID verwenden
+- **OpenID Connect**: OpenID Connect verwenden (erfordert das Plugin ``fess-sso-oidc``)
+- **SAML**: SAML verwenden (erfordert das Plugin ``fess-sso-saml``)
+- **SPNEGO**: SPNEGO verwenden (erfordert das Plugin ``fess-sso-spnego``)
+- **Entra ID**: Microsoft Entra ID verwenden (erfordert das Plugin ``fess-sso-entraid``)
 
 Crawler
 -------
diff --git a/de/15.9/config/sso-entraid.rst b/de/15.9/config/sso-entraid.rst
index 623ca8dd..8a201350 100644
--- a/de/15.9/config/sso-entraid.rst
+++ b/de/15.9/config/sso-entraid.rst
@@ -8,6 +8,14 @@ SSO-Konfiguration mit Entra ID
 |Fess| unterstützt Single Sign-On (SSO)-Authentifizierung mit Microsoft Entra ID (ehemals Azure AD).
 Durch die Verwendung der Entra ID-Authentifizierung können Benutzerinformationen und Gruppeninformationen aus Ihrer Microsoft 365-Umgebung mit der rollenbasierten Suche von |Fess| integriert werden.
 
+.. note::
+   Die Unterstützung für die Entra ID-Authentifizierung kommt aus dem Plugin
+   ``fess-sso-entraid``, das nicht Teil der Distribution ist. Installieren Sie es über die
+   Seite **System > Plugin** in der Administrationsoberfläche oder mit
+   ``bin/fess-setup install plugin fess-sso-entraid``.
+   Bis dahin wird eine Anfrage an ``/sso/`` mit ``sso.type=entraid`` (oder dem alten ``aad``)
+   nur zur Anmeldeseite zurückgeleitet.
+
 Wie die Entra ID-Authentifizierung funktioniert
 -----------------------------------------------
 
diff --git a/de/15.9/config/sso-oidc.rst b/de/15.9/config/sso-oidc.rst
index b2e24dc7..4d1a8868 100644
--- a/de/15.9/config/sso-oidc.rst
+++ b/de/15.9/config/sso-oidc.rst
@@ -9,6 +9,15 @@ SSO-Konfiguration mit OpenID Connect
 OpenID Connect ist ein Authentifizierungsprotokoll, das auf OAuth 2.0 aufbaut und ID-Token (JWT) für die Benutzerauthentifizierung verwendet.
 Durch die Verwendung von OpenID Connect können Benutzerinformationen, die von einem OpenID Provider (OP) authentifiziert wurden, mit |Fess| integriert werden.
 
+.. note::
+   Die Unterstützung für die OpenID Connect Authentifizierung kommt aus dem Plugin
+   ``fess-sso-oidc``, das nicht Teil der Distribution ist. Installieren Sie es über die Seite
+   **System > Plugin** in der Administrationsoberfläche oder mit
+   ``bin/fess-setup install plugin fess-sso-oidc``. Das Plugin heißt ``fess-sso-oidc``, während
+   der Wert von ``sso.type`` weiterhin ``oic`` lautet.
+   Bis dahin wird eine Anfrage an ``/sso/`` mit ``sso.type=oic`` nur zur Anmeldeseite
+   zurückgeleitet.
+
 Funktionsweise der OpenID Connect Authentifizierung
 ----------------------------------------------------
 
diff --git a/de/15.9/config/sso-saml.rst b/de/15.9/config/sso-saml.rst
index 2ad21978..9963dd7e 100644
--- a/de/15.9/config/sso-saml.rst
+++ b/de/15.9/config/sso-saml.rst
@@ -8,6 +8,13 @@ SAML-Authentifizierung SSO-Einrichtung
 |Fess| unterstützt Single Sign-On (SSO) Authentifizierung mit SAML (Security Assertion Markup Language) 2.0.
 Durch die Verwendung von SAML-Authentifizierung können Benutzerinformationen, die von einem IdP (Identity Provider) authentifiziert wurden, mit |Fess| integriert werden. In Kombination mit rollenbasierter Suche ermöglicht dies die Anzeige von Suchergebnissen basierend auf Benutzerberechtigungen.
 
+.. note::
+   Die Unterstützung für die SAML-Authentifizierung kommt aus dem Plugin ``fess-sso-saml``,
+   das nicht Teil der Distribution ist. Installieren Sie es über die Seite **System > Plugin**
+   in der Administrationsoberfläche oder mit ``bin/fess-setup install plugin fess-sso-saml``.
+   Bis dahin wird eine Anfrage an ``/sso/`` mit ``sso.type=saml`` nur zur Anmeldeseite
+   zurückgeleitet.
+
 Funktionsweise der SAML-Authentifizierung
 -----------------------------------------
 
diff --git a/de/15.9/config/sso-spnego.rst b/de/15.9/config/sso-spnego.rst
index 2b77916a..555a144e 100644
--- a/de/15.9/config/sso-spnego.rst
+++ b/de/15.9/config/sso-spnego.rst
@@ -8,6 +8,14 @@ SSO-Konfiguration mit Windows-integrierter Authentifizierung
 |Fess| unterstützt Single Sign-On (SSO)-Authentifizierung mit Windows-integrierter Authentifizierung (SPNEGO/Kerberos).
 Durch die Verwendung der Windows-integrierten Authentifizierung können Benutzer, die an einem Windows-Domänencomputer angemeldet sind, ohne zusätzliche Anmeldevorgänge auf |Fess| zugreifen.
 
+.. note::
+   Die Unterstützung für die Windows-integrierte Authentifizierung kommt aus dem Plugin
+   ``fess-sso-spnego``, das nicht Teil der Distribution ist. Installieren Sie es über die Seite
+   **System > Plugin** in der Administrationsoberfläche oder mit
+   ``bin/fess-setup install plugin fess-sso-spnego``.
+   Bis dahin wird eine Anfrage an ``/sso/`` mit ``sso.type=spnego`` nur zur Anmeldeseite
+   zurückgeleitet.
+
 Wie die Windows-integrierte Authentifizierung funktioniert
 ----------------------------------------------------------
 
diff --git a/de/15.9/install/upgrade.rst b/de/15.9/install/upgrade.rst
index e974d9b8..b25fbd06 100644
--- a/de/15.9/install/upgrade.rst
+++ b/de/15.9/install/upgrade.rst
@@ -470,7 +470,7 @@ Bei Major-Version-Upgrades wird die Neuerstellung des Index empfohlen.
 Upgrade von 15.8 auf 15.9
 =========================
 
-Wenn Sie von 15.8 aktualisieren, sind die folgenden sieben Änderungen nicht abwärtskompatibel.
+Wenn Sie von 15.8 aktualisieren, sind die folgenden acht Änderungen nicht abwärtskompatibel.
 
 Entfernung des eingebetteten OpenSearch
 ---------------------------------------
@@ -567,6 +567,36 @@ und ein vorhandenes ``crawler.file.protocols`` wird durch das Upgrade ebenfalls
 
 Ohne Amazon S3 oder S3-kompatible Speicher wie MinIO ist nichts zu tun.
 
+Die SSO-Authentifizierung wird als Plugins ausgeliefert
+-------------------------------------------------------
+
+Keiner der vier SSO-Authentifikatoren ist mehr Teil der Distribution; jeder Wert von
+``sso.type`` kommt jetzt aus einem eigenen Plugin, das auch die benötigte
+Identitätsbibliothek mitbringt: ``saml`` aus ``fess-sso-saml``, ``spnego`` aus
+``fess-sso-spnego``, ``entraid`` (und das alte ``aad``) aus ``fess-sso-entraid`` und ``oic``
+aus ``fess-sso-oidc``. Beachten Sie das letzte Paar: das Plugin heißt ``fess-sso-oidc``,
+während der Wert von ``sso.type`` weiterhin ``oic`` lautet; das ist die einzige Stelle, an der
+sich beide unterscheiden. Installieren Sie das benötigte Plugin über die Seite
+**System > Plugin** in der Administrationsoberfläche oder mit dem folgenden Befehl.
+
+::
+
+    $ bin/fess-setup install plugin fess-sso-saml
+
+Ihre Einstellungen bleiben erhalten, weil ``sso.type`` und die Schlüssel ``saml.*``,
+``spnego.*``, ``entraid.*``, ``aad.*`` und ``oic.*`` in ``WEB-INF/conf/system.properties``
+liegen. Auch „System" → „Allgemein" auf der Verwaltungsseite bietet weiterhin alle vier Typen
+an und zeigt weiterhin deren Einstellungen, weil ein Plugin keine JSP bereitstellen kann; auf
+dieser Seite weist also nichts auf ein fehlendes Plugin hin.
+
+Bis das Plugin installiert ist, wird eine Anfrage an ``/sso/`` zur Anmeldeseite
+zurückgeleitet, die den fehlgeschlagenen SSO-Login meldet, und niemand kann sich über SSO
+anmelden. 15.9 protokolliert in ``fess.log`` eine Warnung mit dem Namen der gesuchten
+Komponente und des Plugins, das sie bereitstellt, wo bis 15.8 auf keiner Log-Ebene etwas
+ausgegeben wurde.
+
+Ohne SSO ist nichts zu tun, also wenn ``sso.type`` den Wert ``none`` hat oder nicht gesetzt ist.
+
 Die eingebaute Skript-Engine wechselt von Groovy zu JavaScript
 --------------------------------------------------------------
 
diff --git a/en/15.9/admin/general-guide.rst b/en/15.9/admin/general-guide.rst
index c2974b7a..84f46d4a 100644
--- a/en/15.9/admin/general-guide.rst
+++ b/en/15.9/admin/general-guide.rst
@@ -96,10 +96,10 @@ SSO Type
 Specifies the single sign-on type.
 
 - **None**: Do not use SSO
-- **OpenID Connect**: Use OpenID Connect
-- **SAML**: Use SAML
-- **SPNEGO**: Use SPNEGO
-- **Entra ID**: Use Microsoft Entra ID
+- **OpenID Connect**: Use OpenID Connect (requires the ``fess-sso-oidc`` plugin)
+- **SAML**: Use SAML (requires the ``fess-sso-saml`` plugin)
+- **SPNEGO**: Use SPNEGO (requires the ``fess-sso-spnego`` plugin)
+- **Entra ID**: Use Microsoft Entra ID (requires the ``fess-sso-entraid`` plugin)
 
 Crawler
 -------
diff --git a/en/15.9/config/sso-entraid.rst b/en/15.9/config/sso-entraid.rst
index b76d7ad0..aacceedd 100644
--- a/en/15.9/config/sso-entraid.rst
+++ b/en/15.9/config/sso-entraid.rst
@@ -8,6 +8,13 @@ Overview
 |Fess| supports Single Sign-On (SSO) authentication using Microsoft Entra ID (formerly Azure AD).
 By using Entra ID authentication, you can integrate user information and group information from your Microsoft 365 environment with |Fess| role-based search.
 
+.. note::
+   Entra ID authentication comes from the ``fess-sso-entraid`` plugin, which is not part of the
+   distribution. Install it from the System > Plugin page in the administration screen, or with
+   ``bin/fess-setup install plugin fess-sso-entraid``.
+   Until it is installed, ``sso.type=entraid`` (or the legacy ``aad``) only redirects every
+   request to ``/sso/`` back to the login page.
+
 How Entra ID Authentication Works
 ---------------------------------
 
diff --git a/en/15.9/config/sso-oidc.rst b/en/15.9/config/sso-oidc.rst
index 3015bd74..5428b705 100644
--- a/en/15.9/config/sso-oidc.rst
+++ b/en/15.9/config/sso-oidc.rst
@@ -9,6 +9,14 @@ Overview
 OpenID Connect is an authentication protocol built on top of OAuth 2.0 that uses ID Tokens (JWT) for user authentication.
 By using OpenID Connect authentication, user information authenticated by an OpenID Provider (OP) can be integrated with |Fess|.
 
+.. note::
+   OpenID Connect authentication comes from the ``fess-sso-oidc`` plugin, which is not part of
+   the distribution. Install it from the System > Plugin page in the administration screen, or
+   with ``bin/fess-setup install plugin fess-sso-oidc``. The plugin is named ``fess-sso-oidc``
+   while the ``sso.type`` value stays ``oic``.
+   Until it is installed, ``sso.type=oic`` only redirects every request to ``/sso/`` back to the
+   login page.
+
 How OpenID Connect Authentication Works
 ---------------------------------------
 
diff --git a/en/15.9/config/sso-saml.rst b/en/15.9/config/sso-saml.rst
index f0bceb40..d3fccd9d 100644
--- a/en/15.9/config/sso-saml.rst
+++ b/en/15.9/config/sso-saml.rst
@@ -8,6 +8,13 @@ Overview
 |Fess| supports Single Sign-On (SSO) authentication using SAML (Security Assertion Markup Language) 2.0.
 By using SAML authentication, user information authenticated by an IdP (Identity Provider) can be integrated with |Fess|, enabling role-based search results based on user permissions when combined with role-based search.
 
+.. note::
+   SAML authentication comes from the ``fess-sso-saml`` plugin, which is not part of the
+   distribution. Install it from the System > Plugin page in the administration screen, or with
+   ``bin/fess-setup install plugin fess-sso-saml``.
+   Until it is installed, ``sso.type=saml`` only redirects every request to ``/sso/`` back to
+   the login page.
+
 How SAML Authentication Works
 -----------------------------
 
diff --git a/en/15.9/config/sso-spnego.rst b/en/15.9/config/sso-spnego.rst
index 8d1e040d..5cd03648 100644
--- a/en/15.9/config/sso-spnego.rst
+++ b/en/15.9/config/sso-spnego.rst
@@ -8,6 +8,13 @@ Overview
 |Fess| supports Single Sign-On (SSO) authentication using Windows Integrated Authentication (SPNEGO/Kerberos).
 By using Windows Integrated Authentication, users who are logged into a Windows domain-joined computer can access |Fess| without additional login operations.
 
+.. note::
+   Windows Integrated Authentication comes from the ``fess-sso-spnego`` plugin, which is not
+   part of the distribution. Install it from the System > Plugin page in the administration
+   screen, or with ``bin/fess-setup install plugin fess-sso-spnego``.
+   Until it is installed, ``sso.type=spnego`` only redirects every request to ``/sso/`` back to
+   the login page.
+
 How Windows Integrated Authentication Works
 -------------------------------------------
 
diff --git a/en/15.9/install/upgrade.rst b/en/15.9/install/upgrade.rst
index 05f36ab5..49a4b7a0 100644
--- a/en/15.9/install/upgrade.rst
+++ b/en/15.9/install/upgrade.rst
@@ -465,7 +465,7 @@ For major version upgrades, it is recommended to recreate the index.
 Upgrading from 15.8 to 15.9
 ===========================
 
-If you are upgrading from 15.8, the following seven changes are not backward compatible.
+If you are upgrading from 15.8, the following eight changes are not backward compatible.
 
 Removal of the embedded OpenSearch
 ----------------------------------
@@ -555,6 +555,33 @@ existing ``crawler.file.protocols`` is not replaced by the upgrade either.
 
 Nothing is needed if you do not use Amazon S3 or S3-compatible storage such as MinIO.
 
+SSO Authentication Moved to Plugins
+-----------------------------------
+
+None of the four SSO authenticators is part of the distribution any more. Each ``sso.type``
+value now comes from its own plugin, which carries the identity library it needs: ``saml`` from
+``fess-sso-saml``, ``spnego`` from ``fess-sso-spnego``, ``entraid`` (and the legacy ``aad``)
+from ``fess-sso-entraid``, and ``oic`` from ``fess-sso-oidc``. Note the last pair: the plugin is
+named ``fess-sso-oidc`` while the ``sso.type`` value stays ``oic``, the one place where the two
+differ. Install the one you use from the System > Plugin page in the administration screen, or
+with the command below.
+
+::
+
+    $ bin/fess-setup install plugin fess-sso-saml
+
+Your settings are kept, because ``sso.type`` and the ``saml.*``, ``spnego.*``, ``entraid.*``,
+``aad.*`` and ``oic.*`` keys live in ``WEB-INF/conf/system.properties``. "System" → "General" in
+the admin UI also still offers all four types and still shows their settings, because a plugin
+cannot supply a JSP, so nothing on that screen reports a missing plugin.
+
+Until the plugin is installed, a request to ``/sso/`` is redirected back to the login page,
+which reports that the SSO login failed, and no one can log in through SSO. 15.9 records a
+warning in ``fess.log`` naming the component it looked for and the plugin that provides it,
+where up to 15.8 nothing was logged at any level.
+
+Nothing is needed if you do not use SSO, that is if ``sso.type`` is ``none`` or unset.
+
 The Built-in Script Engine Changed from Groovy to JavaScript
 ------------------------------------------------------------
 
diff --git a/es/15.9/admin/general-guide.rst b/es/15.9/admin/general-guide.rst
index 59b01499..19b1157a 100644
--- a/es/15.9/admin/general-guide.rst
+++ b/es/15.9/admin/general-guide.rst
@@ -96,10 +96,10 @@ Tipo de SSO
 Especifica el tipo de inicio de sesión único (Single Sign-On).
 
 - **Ninguno**: No usar SSO
-- **OpenID Connect**: Usar OpenID Connect
-- **SAML**: Usar SAML
-- **SPNEGO**: Usar SPNEGO
-- **Entra ID**: Usar Microsoft Entra ID
+- **OpenID Connect**: Usar OpenID Connect (requiere el plugin ``fess-sso-oidc``)
+- **SAML**: Usar SAML (requiere el plugin ``fess-sso-saml``)
+- **SPNEGO**: Usar SPNEGO (requiere el plugin ``fess-sso-spnego``)
+- **Entra ID**: Usar Microsoft Entra ID (requiere el plugin ``fess-sso-entraid``)
 
 Rastreador
 ----------
diff --git a/es/15.9/config/sso-entraid.rst b/es/15.9/config/sso-entraid.rst
index 7b7649bd..13e25bd7 100644
--- a/es/15.9/config/sso-entraid.rst
+++ b/es/15.9/config/sso-entraid.rst
@@ -8,6 +8,13 @@ Descripción general
 |Fess| soporta autenticación Single Sign-On (SSO) utilizando Microsoft Entra ID (anteriormente Azure AD).
 Al utilizar la autenticación de Entra ID, puede integrar la información de usuario y la información de grupo de su entorno Microsoft 365 con la búsqueda basada en roles de |Fess|.
 
+.. note::
+   La compatibilidad con la autenticación de Entra ID proviene del plugin ``fess-sso-entraid``,
+   que no forma parte de la distribución. Instálelo desde la página **Sistema > Plugin** de la
+   pantalla de administración o con ``bin/fess-setup install plugin fess-sso-entraid``.
+   Hasta entonces, con ``sso.type=entraid`` (o el antiguo ``aad``) toda petición a ``/sso/``
+   solo se redirige de vuelta a la página de inicio de sesión.
+
 Cómo funciona la autenticación de Entra ID
 ------------------------------------------
 
diff --git a/es/15.9/config/sso-oidc.rst b/es/15.9/config/sso-oidc.rst
index cb020f79..04bc8332 100644
--- a/es/15.9/config/sso-oidc.rst
+++ b/es/15.9/config/sso-oidc.rst
@@ -9,6 +9,14 @@ Descripción general
 OpenID Connect es un protocolo de autenticación basado en OAuth 2.0 que utiliza ID Tokens (JWT) para la autenticación de usuarios.
 Al utilizar autenticación OpenID Connect, la información del usuario autenticada por un OpenID Provider (OP) puede integrarse con |Fess|.
 
+.. note::
+   La compatibilidad con la autenticación OpenID Connect proviene del plugin ``fess-sso-oidc``,
+   que no forma parte de la distribución. Instálelo desde la página **Sistema > Plugin** de la
+   pantalla de administración o con ``bin/fess-setup install plugin fess-sso-oidc``. El plugin
+   se llama ``fess-sso-oidc`` mientras que el valor de ``sso.type`` sigue siendo ``oic``.
+   Hasta entonces, con ``sso.type=oic`` toda petición a ``/sso/`` solo se redirige de vuelta a
+   la página de inicio de sesión.
+
 Cómo funciona la autenticación OpenID Connect
 ----------------------------------------------
 
diff --git a/es/15.9/config/sso-saml.rst b/es/15.9/config/sso-saml.rst
index 1ca30d31..38618025 100644
--- a/es/15.9/config/sso-saml.rst
+++ b/es/15.9/config/sso-saml.rst
@@ -8,6 +8,13 @@ Descripción general
 |Fess| soporta autenticación Single Sign-On (SSO) utilizando SAML (Security Assertion Markup Language) 2.0.
 Al utilizar autenticación SAML, la información del usuario autenticada por un IdP (Identity Provider) puede integrarse con |Fess|, permitiendo mostrar resultados de búsqueda basados en los permisos del usuario cuando se combina con la búsqueda basada en roles.
 
+.. note::
+   La compatibilidad con la autenticación SAML proviene del plugin ``fess-sso-saml``, que no
+   forma parte de la distribución. Instálelo desde la página **Sistema > Plugin** de la
+   pantalla de administración o con ``bin/fess-setup install plugin fess-sso-saml``.
+   Hasta entonces, con ``sso.type=saml`` toda petición a ``/sso/`` solo se redirige de vuelta a
+   la página de inicio de sesión.
+
 Cómo funciona la autenticación SAML
 -----------------------------------
 
diff --git a/es/15.9/config/sso-spnego.rst b/es/15.9/config/sso-spnego.rst
index d5a24ee1..2bae84fa 100644
--- a/es/15.9/config/sso-spnego.rst
+++ b/es/15.9/config/sso-spnego.rst
@@ -8,6 +8,14 @@ Descripción general
 |Fess| soporta autenticación Single Sign-On (SSO) utilizando Autenticación Integrada de Windows (SPNEGO/Kerberos).
 Al utilizar la Autenticación Integrada de Windows, los usuarios que han iniciado sesión en una computadora unida al dominio Windows pueden acceder a |Fess| sin operaciones de inicio de sesión adicionales.
 
+.. note::
+   La compatibilidad con la Autenticación Integrada de Windows proviene del plugin
+   ``fess-sso-spnego``, que no forma parte de la distribución. Instálelo desde la página
+   **Sistema > Plugin** de la pantalla de administración o con
+   ``bin/fess-setup install plugin fess-sso-spnego``.
+   Hasta entonces, con ``sso.type=spnego`` toda petición a ``/sso/`` solo se redirige de vuelta
+   a la página de inicio de sesión.
+
 Cómo funciona la Autenticación Integrada de Windows
 ----------------------------------------------------
 
diff --git a/es/15.9/install/upgrade.rst b/es/15.9/install/upgrade.rst
index 45f496c8..b1535c65 100644
--- a/es/15.9/install/upgrade.rst
+++ b/es/15.9/install/upgrade.rst
@@ -470,7 +470,7 @@ Para actualizaciones de versión principal, se recomienda recrear el índice.
 Actualización de 15.8 a 15.9
 ============================
 
-Si actualiza desde 15.8, los siete cambios siguientes no son retrocompatibles.
+Si actualiza desde 15.8, los ocho cambios siguientes no son retrocompatibles.
 
 Eliminación del OpenSearch integrado
 ------------------------------------
@@ -569,6 +569,36 @@ valores ``storage.*`` se conservan, porque están en ``WEB-INF/conf/system.prope
 
 Si no utiliza Amazon S3 ni almacenamiento compatible con S3 como MinIO, no hay nada que hacer.
 
+La autenticación SSO pasa a plugins
+-----------------------------------
+
+Ninguno de los cuatro autenticadores SSO forma parte ya de la distribución; cada valor de
+``sso.type`` proviene ahora de su propio plugin, que incluye la biblioteca de identidad que
+necesita: ``saml`` de ``fess-sso-saml``, ``spnego`` de ``fess-sso-spnego``, ``entraid`` (y el
+antiguo ``aad``) de ``fess-sso-entraid`` y ``oic`` de ``fess-sso-oidc``. Fíjese en el último
+par: el plugin se llama ``fess-sso-oidc`` mientras que el valor de ``sso.type`` sigue siendo
+``oic``, el único lugar en el que ambos difieren. Instale el que utilice desde la página
+**Sistema > Plugin** de la pantalla de administración o con la orden siguiente.
+
+::
+
+    $ bin/fess-setup install plugin fess-sso-saml
+
+Sus valores de configuración se conservan, porque ``sso.type`` y las claves ``saml.*``,
+``spnego.*``, ``entraid.*``, ``aad.*`` y ``oic.*`` están en
+``WEB-INF/conf/system.properties``. Además, "Sistema" → "General" de la pantalla de
+administración sigue ofreciendo los cuatro tipos y sigue mostrando sus ajustes, porque un
+plugin no puede proporcionar un JSP, así que nada en esa pantalla indica que falte un plugin.
+
+Hasta que se instala el plugin, una petición a ``/sso/`` se redirige de vuelta a la página de
+inicio de sesión, que informa de que el inicio de sesión SSO ha fallado, y nadie puede iniciar
+sesión mediante SSO. 15.9 registra en ``fess.log`` una advertencia con el nombre del componente
+que ha buscado y el del plugin que lo proporciona, donde hasta 15.8 no se registraba nada en
+ningún nivel.
+
+Si no utiliza SSO, es decir, si ``sso.type`` es ``none`` o no está definido, no hay nada que
+hacer.
+
 El motor de scripting integrado pasa de Groovy a JavaScript
 -----------------------------------------------------------
 
diff --git a/fr/15.9/admin/general-guide.rst b/fr/15.9/admin/general-guide.rst
index e01cffad..2d20e2c8 100644
--- a/fr/15.9/admin/general-guide.rst
+++ b/fr/15.9/admin/general-guide.rst
@@ -96,10 +96,10 @@ Type de SSO
 Spécifie le type d'authentification unique (Single Sign-On).
 
 - **Aucun** : Ne pas utiliser le SSO
-- **OpenID Connect** : Utiliser OpenID Connect
-- **SAML** : Utiliser SAML
-- **SPNEGO** : Utiliser SPNEGO
-- **Entra ID** : Utiliser Microsoft Entra ID
+- **OpenID Connect** : Utiliser OpenID Connect (nécessite le plugin ``fess-sso-oidc``)
+- **SAML** : Utiliser SAML (nécessite le plugin ``fess-sso-saml``)
+- **SPNEGO** : Utiliser SPNEGO (nécessite le plugin ``fess-sso-spnego``)
+- **Entra ID** : Utiliser Microsoft Entra ID (nécessite le plugin ``fess-sso-entraid``)
 
 Robot d'exploration
 -------------------
diff --git a/fr/15.9/config/sso-entraid.rst b/fr/15.9/config/sso-entraid.rst
index 1632a9c8..23b34669 100644
--- a/fr/15.9/config/sso-entraid.rst
+++ b/fr/15.9/config/sso-entraid.rst
@@ -8,6 +8,14 @@ Aperçu
 |Fess| prend en charge l'authentification Single Sign-On (SSO) en utilisant Microsoft Entra ID (anciennement Azure AD).
 En utilisant l'authentification Entra ID, vous pouvez intégrer les informations utilisateur et les informations de groupe de votre environnement Microsoft 365 avec la recherche basée sur les rôles de |Fess|.
 
+.. note::
+   La prise en charge de l'authentification Entra ID provient du plugin ``fess-sso-entraid``,
+   qui ne fait pas partie de la distribution. Installez-le depuis la page
+   **Système > Plugin** de l'écran d'administration ou avec
+   ``bin/fess-setup install plugin fess-sso-entraid``.
+   Jusque-là, avec ``sso.type=entraid`` (ou l'ancien ``aad``), toute requête vers ``/sso/`` est
+   simplement redirigée vers la page de connexion.
+
 Fonctionnement de l'authentification Entra ID
 ---------------------------------------------
 
diff --git a/fr/15.9/config/sso-oidc.rst b/fr/15.9/config/sso-oidc.rst
index fa49da97..8981421b 100644
--- a/fr/15.9/config/sso-oidc.rst
+++ b/fr/15.9/config/sso-oidc.rst
@@ -9,6 +9,15 @@ Vue d'ensemble
 OpenID Connect est un protocole d'authentification basé sur OAuth 2.0 qui utilise des ID Tokens (JWT) pour l'authentification des utilisateurs.
 En utilisant l'authentification OpenID Connect, les informations utilisateur authentifiées par un OpenID Provider (OP) peuvent être intégrées avec |Fess|.
 
+.. note::
+   La prise en charge de l'authentification OpenID Connect provient du plugin
+   ``fess-sso-oidc``, qui ne fait pas partie de la distribution. Installez-le depuis la page
+   **Système > Plugin** de l'écran d'administration ou avec
+   ``bin/fess-setup install plugin fess-sso-oidc``. Le plugin s'appelle ``fess-sso-oidc`` alors
+   que la valeur de ``sso.type`` reste ``oic``.
+   Jusque-là, avec ``sso.type=oic``, toute requête vers ``/sso/`` est simplement redirigée vers
+   la page de connexion.
+
 Fonctionnement de l'authentification OpenID Connect
 ----------------------------------------------------
 
diff --git a/fr/15.9/config/sso-saml.rst b/fr/15.9/config/sso-saml.rst
index 84aeec98..8c9dc79d 100644
--- a/fr/15.9/config/sso-saml.rst
+++ b/fr/15.9/config/sso-saml.rst
@@ -8,6 +8,13 @@ Aperçu
 |Fess| prend en charge l'authentification Single Sign-On (SSO) utilisant SAML (Security Assertion Markup Language) 2.0.
 En utilisant l'authentification SAML, les informations utilisateur authentifiées par un IdP (Identity Provider) peuvent être intégrées à |Fess|, permettant l'affichage de résultats de recherche basés sur les permissions utilisateur lorsqu'elle est combinée avec la recherche basée sur les rôles.
 
+.. note::
+   La prise en charge de l'authentification SAML provient du plugin ``fess-sso-saml``, qui ne
+   fait pas partie de la distribution. Installez-le depuis la page **Système > Plugin** de
+   l'écran d'administration ou avec ``bin/fess-setup install plugin fess-sso-saml``.
+   Jusque-là, avec ``sso.type=saml``, toute requête vers ``/sso/`` est simplement redirigée
+   vers la page de connexion.
+
 Fonctionnement de l'authentification SAML
 -----------------------------------------
 
diff --git a/fr/15.9/config/sso-spnego.rst b/fr/15.9/config/sso-spnego.rst
index c90a01c1..4a483475 100644
--- a/fr/15.9/config/sso-spnego.rst
+++ b/fr/15.9/config/sso-spnego.rst
@@ -8,6 +8,14 @@ Aperçu
 |Fess| prend en charge l'authentification Single Sign-On (SSO) en utilisant l'authentification intégrée Windows (SPNEGO/Kerberos).
 En utilisant l'authentification intégrée Windows, les utilisateurs connectés à un ordinateur membre d'un domaine Windows peuvent accéder à |Fess| sans opérations de connexion supplémentaires.
 
+.. note::
+   La prise en charge de l'authentification intégrée Windows provient du plugin
+   ``fess-sso-spnego``, qui ne fait pas partie de la distribution. Installez-le depuis la page
+   **Système > Plugin** de l'écran d'administration ou avec
+   ``bin/fess-setup install plugin fess-sso-spnego``.
+   Jusque-là, avec ``sso.type=spnego``, toute requête vers ``/sso/`` est simplement redirigée
+   vers la page de connexion.
+
 Fonctionnement de l'authentification intégrée Windows
 -----------------------------------------------------
 
diff --git a/fr/15.9/install/upgrade.rst b/fr/15.9/install/upgrade.rst
index a78aefd8..896a6d63 100644
--- a/fr/15.9/install/upgrade.rst
+++ b/fr/15.9/install/upgrade.rst
@@ -473,7 +473,7 @@ En cas de mise à niveau majeure, il est recommandé de recréer l'index.
 Mise à niveau de 15.8 vers 15.9
 ===============================
 
-Si vous effectuez une mise à niveau depuis la 15.8, les sept changements suivants ne sont pas
+Si vous effectuez une mise à niveau depuis la 15.8, les huit changements suivants ne sont pas
 rétrocompatibles.
 
 Suppression de l'OpenSearch intégré
@@ -573,6 +573,36 @@ et un ``crawler.file.protocols`` existant n'est pas non plus remplacé par la mi
 
 Rien à faire si vous n'utilisez pas Amazon S3 ni un stockage compatible S3 tel que MinIO.
 
+L'authentification SSO passe dans des plugins
+---------------------------------------------
+
+Aucun des quatre authentificateurs SSO ne fait plus partie de la distribution : chaque valeur
+de ``sso.type`` provient désormais de son propre plugin, qui embarque la bibliothèque
+d'identité dont il a besoin : ``saml`` de ``fess-sso-saml``, ``spnego`` de
+``fess-sso-spnego``, ``entraid`` (et l'ancien ``aad``) de ``fess-sso-entraid`` et ``oic`` de
+``fess-sso-oidc``. Notez la dernière paire : le plugin s'appelle ``fess-sso-oidc`` alors que la
+valeur de ``sso.type`` reste ``oic`` ; c'est le seul endroit où les deux diffèrent. Installez
+celui que vous utilisez depuis la page **Système > Plugin** de l'écran d'administration ou avec
+la commande ci-dessous.
+
+::
+
+    $ bin/fess-setup install plugin fess-sso-saml
+
+Vos paramètres sont conservés, car ``sso.type`` et les clés ``saml.*``, ``spnego.*``,
+``entraid.*``, ``aad.*`` et ``oic.*`` se trouvent dans ``WEB-INF/conf/system.properties``. De
+plus, « Système » → « Général » de l'écran d'administration propose toujours les quatre types
+et affiche toujours leurs paramètres, car un plugin ne peut pas fournir de JSP : rien sur cet
+écran ne signale donc un plugin manquant.
+
+Jusqu'à l'installation du plugin, une requête vers ``/sso/`` est redirigée vers la page de
+connexion, qui signale l'échec de la connexion SSO, et personne ne peut se connecter via le
+SSO. La 15.9 journalise dans ``fess.log`` un avertissement nommant le composant recherché et le
+plugin qui le fournit, là où jusqu'à la 15.8 rien n'était journalisé à aucun niveau.
+
+Rien à faire si vous n'utilisez pas le SSO, c'est-à-dire si ``sso.type`` vaut ``none`` ou n'est
+pas défini.
+
 Le moteur de script intégré passe de Groovy à JavaScript
 --------------------------------------------------------
 
diff --git a/ja/15.9/admin/general-guide.rst b/ja/15.9/admin/general-guide.rst
index 650b2708..52b35549 100644
--- a/ja/15.9/admin/general-guide.rst
+++ b/ja/15.9/admin/general-guide.rst
@@ -96,10 +96,10 @@ SSOタイプ
 シングルサインオンのタイプを指定します。
 
 - **None**: SSOを使用しない
-- **OpenID Connect**: OpenID Connectを使用
-- **SAML**: SAMLを使用
-- **SPNEGO**: SPNEGOを使用
-- **Entra ID**: Microsoft Entra IDを使用
+- **OpenID Connect**: OpenID Connectを使用（ ``fess-sso-oidc`` プラグインが必要）
+- **SAML**: SAMLを使用（ ``fess-sso-saml`` プラグインが必要）
+- **SPNEGO**: SPNEGOを使用（ ``fess-sso-spnego`` プラグインが必要）
+- **Entra ID**: Microsoft Entra IDを使用（ ``fess-sso-entraid`` プラグインが必要）
 
 クローラー
 --------
diff --git a/ja/15.9/config/sso-entraid.rst b/ja/15.9/config/sso-entraid.rst
index 8341dcf4..5c09e762 100644
--- a/ja/15.9/config/sso-entraid.rst
+++ b/ja/15.9/config/sso-entraid.rst
@@ -8,6 +8,13 @@ Microsoft Entra IDによるSSO設定
 |Fess| では、Microsoft Entra ID（旧Azure AD）を使用したシングルサインオン（SSO）認証をサポートしています。
 Entra ID認証を使用することで、Microsoft 365環境のユーザー情報やグループ情報を |Fess| のロールベース検索と連携できます。
 
+.. note::
+   Entra ID認証への対応は ``fess-sso-entraid`` プラグインから提供されます。配布物には
+   同梱されていないため、管理画面の「システム > プラグイン」ページ、または
+   ``bin/fess-setup install plugin fess-sso-entraid`` で導入してください。
+   導入するまで、 ``sso.type=entraid`` （旧名の ``aad`` も同じ）を設定しても ``/sso/`` への
+   リクエストはログインページへリダイレクトされるだけです。
+
 Entra ID認証の仕組み
 --------------------
 
diff --git a/ja/15.9/config/sso-oidc.rst b/ja/15.9/config/sso-oidc.rst
index f342627c..d32814d5 100644
--- a/ja/15.9/config/sso-oidc.rst
+++ b/ja/15.9/config/sso-oidc.rst
@@ -9,6 +9,14 @@ OpenID ConnectによるSSO設定
 OpenID ConnectはOAuth 2.0を基盤とした認証プロトコルで、ID Token（JWT）を使用してユーザー認証を行います。
 OpenID Connect認証を使用することで、OIDCプロバイダー（OP）で認証されたユーザー情報を |Fess| に連携できます。
 
+.. note::
+   OpenID Connect認証への対応は ``fess-sso-oidc`` プラグインから提供されます。配布物には
+   同梱されていないため、管理画面の「システム > プラグイン」ページ、または
+   ``bin/fess-setup install plugin fess-sso-oidc`` で導入してください。プラグイン名は
+   ``fess-sso-oidc`` ですが、 ``sso.type`` の値は ``oic`` のままです。
+   導入するまで、 ``sso.type=oic`` を設定しても ``/sso/`` へのリクエストはログインページへ
+   リダイレクトされるだけです。
+
 OpenID Connect認証の仕組み
 --------------------------
 
diff --git a/ja/15.9/config/sso-saml.rst b/ja/15.9/config/sso-saml.rst
index 07c7995b..0f903434 100644
--- a/ja/15.9/config/sso-saml.rst
+++ b/ja/15.9/config/sso-saml.rst
@@ -8,6 +8,13 @@ SAML認証によるSSO設定
 |Fess| では、SAML（Security Assertion Markup Language）2.0 を使用したシングルサインオン（SSO）認証をサポートしています。
 SAML認証を使用することで、IdP（Identity Provider）で認証されたユーザー情報を |Fess| に連携し、ロールベース検索と組み合わせることで、ユーザーの権限に応じた検索結果の出し分けが可能になります。
 
+.. note::
+   SAML認証への対応は ``fess-sso-saml`` プラグインから提供されます。配布物には同梱されて
+   いないため、管理画面の「システム > プラグイン」ページ、または
+   ``bin/fess-setup install plugin fess-sso-saml`` で導入してください。
+   導入するまで、 ``sso.type=saml`` を設定しても ``/sso/`` へのリクエストはログインページへ
+   リダイレクトされるだけです。
+
 SAML認証の仕組み
 ----------------
 
diff --git a/ja/15.9/config/sso-spnego.rst b/ja/15.9/config/sso-spnego.rst
index 72efab8f..9f27ac17 100644
--- a/ja/15.9/config/sso-spnego.rst
+++ b/ja/15.9/config/sso-spnego.rst
@@ -8,6 +8,13 @@ Windows統合認証によるSSO設定
 |Fess| はWindows統合認証（SPNEGO/Kerberos）を使用したシングルサインオン（SSO）認証をサポートしています。
 Windows統合認証を使用することで、Active Directoryドメインに参加しているWindowsにログインしたユーザーは、追加のログイン操作なしで |Fess| にアクセスできます。
 
+.. note::
+   Windows統合認証への対応は ``fess-sso-spnego`` プラグインから提供されます。配布物には
+   同梱されていないため、管理画面の「システム > プラグイン」ページ、または
+   ``bin/fess-setup install plugin fess-sso-spnego`` で導入してください。
+   導入するまで、 ``sso.type=spnego`` を設定しても ``/sso/`` へのリクエストはログイン
+   ページへリダイレクトされるだけです。
+
 Windows統合認証の仕組み
 -----------------------
 
diff --git a/ja/15.9/install/upgrade.rst b/ja/15.9/install/upgrade.rst
index 569356a6..9b95ae0a 100644
--- a/ja/15.9/install/upgrade.rst
+++ b/ja/15.9/install/upgrade.rst
@@ -461,7 +461,7 @@ Docker 版::
 15.8 から 15.9 へのアップグレード
 =================================
 
-15.8 からアップグレードする場合、以下の 7 点が互換性のない変更です。
+15.8 からアップグレードする場合、以下の 8 点が互換性のない変更です。
 
 組み込み OpenSearch の廃止
 --------------------------
@@ -552,6 +552,34 @@ AWS SDK は配布物に含まれなくなり、 ``s3://`` のクロールと ``s
 
 Amazon S3 と MinIO などの S3 互換ストレージを使用していない場合、対応は不要です。
 
+SSO 認証をプラグインへ移動
+--------------------------
+
+4 種類の SSO 認証はいずれも配布物に含まれなくなり、 ``sso.type`` の値ごとに専用の
+プラグインから提供されます。プラグインには必要な認証ライブラリも含まれます。 ``saml`` は
+``fess-sso-saml`` 、 ``spnego`` は ``fess-sso-spnego`` 、 ``entraid`` （旧名の ``aad`` も
+同じ）は ``fess-sso-entraid`` 、 ``oic`` は ``fess-sso-oidc`` です。最後の組み合わせに
+注意してください。プラグイン名は ``fess-sso-oidc`` ですが ``sso.type`` の値は ``oic`` の
+ままで、両者が異なるのはここ 1 か所だけです。使用するものを管理画面の
+「システム > プラグイン」ページ、または次のコマンドで導入してください。
+
+::
+
+    $ bin/fess-setup install plugin fess-sso-saml
+
+``sso.type`` と ``saml.*`` 、 ``spnego.*`` 、 ``entraid.*`` 、 ``aad.*`` 、 ``oic.*`` の各キーは
+``WEB-INF/conf/system.properties`` にあるため、設定値はそのまま残ります。管理画面
+「システム」→「全般」も 4 種類すべてを選択肢として表示し、設定欄も残ります。プラグインから
+JSP を提供できないためで、この画面はプラグインが未導入であることを知らせません。
+
+プラグインを導入するまで、 ``/sso/`` へのリクエストは SSO ログインの失敗を表示する
+ログインページへリダイレクトされ、SSO でログインできません。15.9 では探した
+コンポーネント名と提供元のプラグイン名を含む警告が ``fess.log`` に記録されます。
+15.8 まではどのログレベルでも何も出力されませんでした。
+
+SSO を使用していない場合、つまり ``sso.type`` が ``none`` または未設定の場合、
+対応は不要です。
+
 標準のスクリプトエンジンが Groovy から JavaScript に変更
 --------------------------------------------------------
 
diff --git a/ko/15.9/admin/general-guide.rst b/ko/15.9/admin/general-guide.rst
index de9b0d01..be80decf 100644
--- a/ko/15.9/admin/general-guide.rst
+++ b/ko/15.9/admin/general-guide.rst
@@ -96,10 +96,10 @@ SSO 유형
 싱글 사인온(Single Sign-On) 유형을 지정합니다.
 
 - **None**: SSO를 사용하지 않음
-- **OpenID Connect**: OpenID Connect 사용
-- **SAML**: SAML 사용
-- **SPNEGO**: SPNEGO 사용
-- **Entra ID**: Microsoft Entra ID 사용
+- **OpenID Connect**: OpenID Connect 사용（ ``fess-sso-oidc`` 플러그인 필요）
+- **SAML**: SAML 사용（ ``fess-sso-saml`` 플러그인 필요）
+- **SPNEGO**: SPNEGO 사용（ ``fess-sso-spnego`` 플러그인 필요）
+- **Entra ID**: Microsoft Entra ID 사용（ ``fess-sso-entraid`` 플러그인 필요）
 
 크롤러
 --------
diff --git a/ko/15.9/config/sso-entraid.rst b/ko/15.9/config/sso-entraid.rst
index d7ca3d4f..6166e245 100644
--- a/ko/15.9/config/sso-entraid.rst
+++ b/ko/15.9/config/sso-entraid.rst
@@ -8,6 +8,13 @@ Microsoft Entra ID를 이용한 SSO 설정
 |Fess| 에서는 Microsoft Entra ID（구 Azure AD）를 사용한 싱글 사인온（SSO）인증을 지원합니다.
 Entra ID 인증을 사용하면 Microsoft 365 환경의 사용자 정보 및 그룹 정보를 |Fess| 의 역할 기반 검색과 연동할 수 있습니다.
 
+.. note::
+   Entra ID 인증 지원은 ``fess-sso-entraid`` 플러그인에서 제공됩니다. 배포물에 포함되어
+   있지 않으므로 관리 화면의 「시스템 > 플러그인」 페이지 또는
+   ``bin/fess-setup install plugin fess-sso-entraid`` 로 설치하십시오.
+   설치하기 전에는 ``sso.type=entraid`` (이전 이름 ``aad`` 포함) 설정만으로는 ``/sso/`` 요청이
+   로그인 페이지로 리디렉션될 뿐입니다.
+
 Entra ID 인증의 동작 방식
 --------------------------
 
diff --git a/ko/15.9/config/sso-oidc.rst b/ko/15.9/config/sso-oidc.rst
index 4b249051..0d22d255 100644
--- a/ko/15.9/config/sso-oidc.rst
+++ b/ko/15.9/config/sso-oidc.rst
@@ -9,6 +9,14 @@ OpenID Connect를 통한 SSO 설정
 OpenID Connect는 OAuth 2.0을 기반으로 한 인증 프로토콜로, ID Token（JWT）을 사용하여 사용자 인증을 수행합니다.
 OpenID Connect 인증을 사용하면 OIDC 프로바이더（OP）에서 인증된 사용자 정보를 |Fess| 에 연동할 수 있습니다.
 
+.. note::
+   OpenID Connect 인증 지원은 ``fess-sso-oidc`` 플러그인에서 제공됩니다. 배포물에 포함되어
+   있지 않으므로 관리 화면의 「시스템 > 플러그인」 페이지 또는
+   ``bin/fess-setup install plugin fess-sso-oidc`` 로 설치하십시오. 플러그인 이름은
+   ``fess-sso-oidc`` 이지만 ``sso.type`` 의 값은 그대로 ``oic`` 입니다.
+   설치하기 전에는 ``sso.type=oic`` 설정만으로는 ``/sso/`` 요청이 로그인 페이지로
+   리디렉션될 뿐입니다.
+
 OpenID Connect 인증 동작 방식
 ------------------------------
 
diff --git a/ko/15.9/config/sso-saml.rst b/ko/15.9/config/sso-saml.rst
index 5ab77037..a30a9992 100644
--- a/ko/15.9/config/sso-saml.rst
+++ b/ko/15.9/config/sso-saml.rst
@@ -8,6 +8,13 @@ SAML 인증을 통한 SSO 설정
 |Fess| 에서는 SAML（Security Assertion Markup Language）2.0을 사용한 싱글 사인온（SSO）인증을 지원합니다.
 SAML 인증을 사용하면 IdP（Identity Provider）에서 인증된 사용자 정보를 |Fess| 에 연동하고, 역할 기반 검색과 결합하여 사용자의 권한에 따른 검색 결과 구분이 가능해집니다.
 
+.. note::
+   SAML 인증 지원은 ``fess-sso-saml`` 플러그인에서 제공됩니다. 배포물에 포함되어 있지
+   않으므로 관리 화면의 「시스템 > 플러그인」 페이지 또는
+   ``bin/fess-setup install plugin fess-sso-saml`` 로 설치하십시오.
+   설치하기 전에는 ``sso.type=saml`` 설정만으로는 ``/sso/`` 요청이 로그인 페이지로
+   리디렉션될 뿐입니다.
+
 SAML 인증의 구조
 ----------------
 
diff --git a/ko/15.9/config/sso-spnego.rst b/ko/15.9/config/sso-spnego.rst
index b0c77fef..ea496217 100644
--- a/ko/15.9/config/sso-spnego.rst
+++ b/ko/15.9/config/sso-spnego.rst
@@ -8,6 +8,13 @@ Windows 통합 인증을 통한 SSO 설정
 |Fess| 는 Windows 통합 인증(SPNEGO/Kerberos)을 사용한 싱글 사인온(SSO) 인증을 지원합니다.
 Windows 통합 인증을 사용하면 Active Directory 도메인에 가입한 Windows에 로그인한 사용자는 추가 로그인 조작 없이 |Fess| 에 접근할 수 있습니다.
 
+.. note::
+   Windows 통합 인증 지원은 ``fess-sso-spnego`` 플러그인에서 제공됩니다. 배포물에 포함되어
+   있지 않으므로 관리 화면의 「시스템 > 플러그인」 페이지 또는
+   ``bin/fess-setup install plugin fess-sso-spnego`` 로 설치하십시오.
+   설치하기 전에는 ``sso.type=spnego`` 설정만으로는 ``/sso/`` 요청이 로그인 페이지로
+   리디렉션될 뿐입니다.
+
 Windows 통합 인증의 동작 방식
 ------------------------------
 
diff --git a/ko/15.9/install/upgrade.rst b/ko/15.9/install/upgrade.rst
index f1c9f2a8..aaf7e7c9 100644
--- a/ko/15.9/install/upgrade.rst
+++ b/ko/15.9/install/upgrade.rst
@@ -461,7 +461,7 @@ Docker 버전::
 15.8에서 15.9로 업그레이드
 ==========================
 
-15.8에서 업그레이드하는 경우 다음 일곱 가지가 하위 호환되지 않는 변경입니다.
+15.8에서 업그레이드하는 경우 다음 여덟 가지가 하위 호환되지 않는 변경입니다.
 
 내장 OpenSearch 폐지
 --------------------
@@ -551,6 +551,35 @@ AWS SDK 는 더 이상 배포물에 포함되지 않으며, ``s3://`` 크롤링
 
 Amazon S3 와 MinIO 등 S3 호환 스토리지를 사용하지 않는 경우에는 대응이 필요 없습니다.
 
+SSO 인증을 플러그인으로 이동
+----------------------------
+
+네 가지 SSO 인증은 모두 더 이상 배포물에 포함되지 않으며, ``sso.type`` 의 값별로 전용
+플러그인에서 제공됩니다. 플러그인에는 필요한 인증 라이브러리도 포함됩니다. 대응하는
+플러그인은 ``saml`` 에는 ``fess-sso-saml``, ``spnego`` 에는 ``fess-sso-spnego``,
+``entraid`` (이전 이름 ``aad`` 포함)에는 ``fess-sso-entraid``, ``oic`` 에는
+``fess-sso-oidc`` 입니다. 마지막 조합에 유의하십시오. 플러그인 이름은 ``fess-sso-oidc``
+이지만 ``sso.type`` 의 값은 그대로 ``oic`` 이며, 둘이 달라지는 곳은 이 한 곳뿐입니다.
+사용하는 것을 관리 화면의 「시스템 > 플러그인」 페이지 또는 아래 명령으로 설치하십시오.
+
+::
+
+    $ bin/fess-setup install plugin fess-sso-saml
+
+``sso.type`` 과 ``saml.*``, ``spnego.*``, ``entraid.*``, ``aad.*``, ``oic.*`` 각 키는
+``WEB-INF/conf/system.properties`` 에 있으므로 설정값은 그대로 남습니다. 관리 화면
+「시스템」→「일반」도 네 가지 모두를 선택 항목으로 표시하고 설정란도 그대로 남습니다.
+플러그인에서 JSP 를 제공할 수 없기 때문이며, 이 화면은 플러그인이 없다는 것을 알리지
+않습니다.
+
+플러그인을 설치하기 전에는 ``/sso/`` 요청이 SSO 로그인 실패를 알리는 로그인 페이지로
+리디렉션되며 SSO 로 로그인할 수 없습니다. 15.9 에서는 찾은 컴포넌트 이름과 제공하는
+플러그인 이름이 포함된 경고가 ``fess.log`` 에 기록됩니다. 15.8 까지는 어느 로그 레벨에서도
+아무것도 출력되지 않았습니다.
+
+SSO 를 사용하지 않는 경우, 즉 ``sso.type`` 이 ``none`` 이거나 설정되지 않은 경우에는
+대응이 필요 없습니다.
+
 내장 스크립트 엔진이 Groovy에서 JavaScript로 변경
 -------------------------------------------------
 
diff --git a/zh-cn/15.9/admin/general-guide.rst b/zh-cn/15.9/admin/general-guide.rst
index 041d522a..8756f0e9 100644
--- a/zh-cn/15.9/admin/general-guide.rst
+++ b/zh-cn/15.9/admin/general-guide.rst
@@ -96,10 +96,10 @@ SSO类型
 指定单点登录(Single Sign-On)类型。
 
 - **无**: 不使用SSO
-- **OpenID Connect**: 使用OpenID Connect
-- **SAML**: 使用SAML
-- **SPNEGO**: 使用SPNEGO
-- **Entra ID**: 使用Microsoft Entra ID
+- **OpenID Connect**: 使用OpenID Connect（需要 ``fess-sso-oidc`` 插件）
+- **SAML**: 使用SAML（需要 ``fess-sso-saml`` 插件）
+- **SPNEGO**: 使用SPNEGO（需要 ``fess-sso-spnego`` 插件）
+- **Entra ID**: 使用Microsoft Entra ID（需要 ``fess-sso-entraid`` 插件）
 
 爬虫
 --------
diff --git a/zh-cn/15.9/config/sso-entraid.rst b/zh-cn/15.9/config/sso-entraid.rst
index 4ad3429c..58e6cbb6 100644
--- a/zh-cn/15.9/config/sso-entraid.rst
+++ b/zh-cn/15.9/config/sso-entraid.rst
@@ -8,6 +8,12 @@ Microsoft Entra ID SSO配置
 |Fess| 支持使用Microsoft Entra ID（前Azure AD）进行单点登录（SSO）认证。
 通过使用Entra ID认证，您可以将Microsoft 365环境中的用户信息和组信息与 |Fess| 的基于角色的搜索集成。
 
+.. note::
+   Entra ID认证的支持由 ``fess-sso-entraid`` 插件提供，该插件不随发行包分发。请从管理
+   界面的「系统 > 插件」页面安装，或执行 ``bin/fess-setup install plugin fess-sso-entraid`` 。
+   在安装之前，即使设置 ``sso.type=entraid``\ （旧名 ``aad`` 亦同），对 ``/sso/`` 的请求也
+   只会重定向回登录页面。
+
 Entra ID认证的工作原理
 ----------------------
 
diff --git a/zh-cn/15.9/config/sso-oidc.rst b/zh-cn/15.9/config/sso-oidc.rst
index 2e51097a..c0d74ef7 100644
--- a/zh-cn/15.9/config/sso-oidc.rst
+++ b/zh-cn/15.9/config/sso-oidc.rst
@@ -9,6 +9,12 @@
 OpenID Connect是基于OAuth 2.0的认证协议，使用ID Token（JWT）进行用户认证。
 通过使用OpenID Connect认证，由OpenID提供者（OP）认证的用户信息可以与 |Fess| 集成。
 
+.. note::
+   OpenID Connect认证的支持由 ``fess-sso-oidc`` 插件提供，该插件不随发行包分发。请从管理
+   界面的「系统 > 插件」页面安装，或执行 ``bin/fess-setup install plugin fess-sso-oidc`` 。
+   插件名为 ``fess-sso-oidc``\ ，而 ``sso.type`` 的取值仍为 ``oic``\ 。
+   在安装之前，即使设置 ``sso.type=oic``\ ，对 ``/sso/`` 的请求也只会重定向回登录页面。
+
 OpenID Connect认证的工作原理
 ----------------------------
 
diff --git a/zh-cn/15.9/config/sso-saml.rst b/zh-cn/15.9/config/sso-saml.rst
index f4a5b193..7ec1b088 100644
--- a/zh-cn/15.9/config/sso-saml.rst
+++ b/zh-cn/15.9/config/sso-saml.rst
@@ -8,6 +8,11 @@ SAML认证SSO配置
 |Fess| 支持使用SAML（安全断言标记语言）2.0进行单点登录（SSO）认证。
 通过使用SAML认证，由IdP（身份提供者）认证的用户信息可以与\ |Fess|\ 集成，结合基于角色的搜索功能，可以根据用户权限显示不同的搜索结果。
 
+.. note::
+   SAML认证的支持由 ``fess-sso-saml`` 插件提供，该插件不随发行包分发。请从管理界面的
+   「系统 > 插件」页面安装，或执行 ``bin/fess-setup install plugin fess-sso-saml`` 。
+   在安装之前，即使设置 ``sso.type=saml``\ ，对 ``/sso/`` 的请求也只会重定向回登录页面。
+
 SAML认证的工作原理
 ------------------
 
diff --git a/zh-cn/15.9/config/sso-spnego.rst b/zh-cn/15.9/config/sso-spnego.rst
index 80ae18dd..9d918295 100644
--- a/zh-cn/15.9/config/sso-spnego.rst
+++ b/zh-cn/15.9/config/sso-spnego.rst
@@ -8,6 +8,11 @@ Windows集成认证SSO配置
 |Fess| 支持使用Windows集成认证（SPNEGO/Kerberos）进行单点登录（SSO）认证。
 通过使用Windows集成认证，登录到Windows域计算机的用户可以无需额外的登录操作即可访问 |Fess|\ 。
 
+.. note::
+   Windows集成认证的支持由 ``fess-sso-spnego`` 插件提供，该插件不随发行包分发。请从管理
+   界面的「系统 > 插件」页面安装，或执行 ``bin/fess-setup install plugin fess-sso-spnego`` 。
+   在安装之前，即使设置 ``sso.type=spnego``\ ，对 ``/sso/`` 的请求也只会重定向回登录页面。
+
 Windows集成认证的工作原理
 -------------------------
 
diff --git a/zh-cn/15.9/install/upgrade.rst b/zh-cn/15.9/install/upgrade.rst
index ed0d9b6f..eb8b173f 100644
--- a/zh-cn/15.9/install/upgrade.rst
+++ b/zh-cn/15.9/install/upgrade.rst
@@ -457,7 +457,7 @@ Docker 版::
 从 15.8 升级到 15.9
 ===================
 
-若从 15.8 升级，以下七项为不向后兼容的变更。
+若从 15.8 升级，以下八项为不向后兼容的变更。
 
 内嵌 OpenSearch 的移除
 ----------------------
@@ -541,6 +541,31 @@ S3，因此即使从未显式指定 ``s3``\ ，在安装插件之前管理界面
 
 如果不使用 Amazon S3 或 MinIO 等兼容 S3 的存储，则无需处理。
 
+SSO 认证移至插件
+----------------
+
+四种 SSO 认证均不再包含在发行包中，每个 ``sso.type`` 取值改由各自的插件提供，插件中同时
+附带所需的认证库： ``saml`` 对应 ``fess-sso-saml``\ ， ``spnego`` 对应
+``fess-sso-spnego``\ ， ``entraid``\ （旧名 ``aad`` 亦同）对应 ``fess-sso-entraid``\ ，
+``oic`` 对应 ``fess-sso-oidc``\ 。请注意最后一组：插件名为 ``fess-sso-oidc``\ ，而
+``sso.type`` 的取值仍为 ``oic``\ ，两者不一致的地方仅此一处。请从管理界面的
+「系统 > 插件」页面安装所需的插件，或执行以下命令。
+
+::
+
+    $ bin/fess-setup install plugin fess-sso-saml
+
+``sso.type`` 与 ``saml.*``\ 、 ``spnego.*``\ 、 ``entraid.*``\ 、 ``aad.*``\ 、 ``oic.*``
+各项位于 ``WEB-INF/conf/system.properties``\ ，因此设置值会保留下来。管理页面
+「系统」→「常规」也仍将四种类型全部列为选项，设置项也保留。这是因为插件无法提供 JSP，
+因此该页面不会提示插件尚未安装。
+
+安装插件之前，对 ``/sso/`` 的请求会被重定向回登录页面，页面上会提示 SSO 登录失败，无法
+通过 SSO 登录。15.9 会将包含所查找的组件名与提供方插件名的警告记录到 ``fess.log``\ ；
+15.8 之前在任何日志级别下都不会输出任何内容。
+
+如果不使用 SSO，即 ``sso.type`` 为 ``none`` 或未设置，则无需处理。
+
 内置脚本引擎由 Groovy 改为 JavaScript
 -------------------------------------