Va tra i tag <body> e </body> come per qualsiasi contenuto.
Tra l'altro è dove ora ti appare il messaggio "Contenuto della pagina" stampato dalla variabile $msg

Se la pagina non risulta protetta, allora sbagli qualche altra cosa, non il posto dove metti il contenuto.