api_id секретный ключ который не должно быть видно клиенту.
от клиента нужно получить только msg и to и отправить на этот адрес, как это делать на PHP?
Вам в любом случае нужно обрабатывать введенные пользователем значения. Другой вопрос, что это можно сделать либо с перезагрузкой страницы, либо AJAX-запросом без перезагрузки. А чем вас обычная отправка формы то не устраивает?