HTTP-запрос к серверному api из плагина. Как на сервере защититься от подмены
Никак.

Чуть осложнить жизнь «подделывателям» можно, отправляя запрос по HTTPS, зашифрованным POST без параметров, только бинарное тело, и выставив неправильные HTTP-заголовки (если пришли правильные — значит подделка, пусть сидят гадают, почему, жалкие людишки). Отвечать сервер тоже должен нестандартно (всегда с кодом 200), бинарным ответом.

Но все равно взломаем, если понадобится.
Почему бы не использовать OAuth?