Вместо:
$params = 'code='. $this->code. '&act=security_check&to='. $params['to']. '&hash=' .$params['hash']. '&al_page=';
Правильно:
$params = http_build_query( array_merge( array('code'=> $this->code, 'act'=> 'security_check', 'al_page'=> ''), $params ) );