Benvenuto.
Intanto inviare una password tramite metodo POST senza usare una una connessione criptata è già un po' azzardato, ma in alcuni casi accettabile, farlo però tramite GET è pura follia.

La funzione header(), se usata dopo la stampa di qualsiasi cosa (tu hai gli echo), non funziona.
Se vuoi mostrare i messaggi, questi dovranno essere mostrati sulla pagina alla quale header() rimanda.