Oui, vous devriez en effet créer un plugin et définir une méthode de contrôleur qui récupère les données pour vous.
Ensuite, à partir du code frontend, appelez la méthode du contrôleur, qui injecte le jeton porteur côté serveur, inaccessible à tout tiers, et effectue l’appel à l’API externe.