Sí, de hecho deberías crear un plugin y definir un método de controlador que obtenga los datos por ti.
Luego, desde el código del frontend, llama al método del controlador, que inyecta el token de portador en el lado del servidor, inaccesible para cualquier tercero, y realiza la llamada a la API externa.