Sì, dovresti assolutamente creare un plugin e definire un metodo controller che recuperi i dati per te.
Quindi, dal codice frontend, chiama il metodo controller, che inietta il bearer token lato server, inaccessibile a terzi, ed effettua la chiamata all’API esterna.