Sim, você deve realmente criar um plugin e definir um método de controlador que busque os dados para você.
Em seguida, a partir do código do frontend, chame o método do controlador, que injeta o token do portador no lado do servidor, inacessível para terceiros, e faz a chamada para a API externa.