Ja, Sie sollten in der Tat ein Plugin erstellen und eine Controller-Methode definieren, die die Daten für Sie abruft.
Rufen Sie dann aus dem Frontend-Code die Controller-Methode auf, die den Bearer-Token serverseitig injiziert, für Dritte unzugänglich macht und den Aufruf an die externe API durchführt.