Да, вам действительно следует создать плагин и определить метод контроллера, который будет получать данные для вас.
Затем из кода фронтенда вызовите этот метод контроллера, который внедрит токен доступа (bearer token) на стороне сервера, сделав его недоступным для любых третьих сторон, и выполнит запрос к внешнему API.