А куда кишки этого действа обращаться будут? Т.е. как оно там унутре реализовано?

Самый офигенный вопрос, да. Насколько я понимаю, по сути, - данные будут отправляться точно так же сайту как при вводе платежной форме скажем, на ОйХербе. Просто реализована эта передача будет не обычными формами, а через специальное апи.
Опять же будут плюсы. Вот сейчас бывает - в форму вбили данные карты, нажали ОК и...белая страница. Сервер вернул пустой ответ. И гадаешь - списалось? Обработалось?
А тут будет сайт обязан по данному API ответить прошло-не прошло без перезагрузки страницы.
Еще плюс - унификация форм. не будет больше милилона "каждый как хочет так и дрочет" вариантов, а будет стандартная форма в браузере с, кстати, запоминанием данных карты (кроме CVC, это запрещено по PCI DCC)

А он тебе в ответ {"error": "success"}. Я так понимаю, URL’ы куда гнать запросы всё равно головняк автора сервиса? Профиты какие-то небольшие. Сохранять параметры карты в браузере, конечно, лучше, чем на самом сервере, но всё равно как-то не очень секурно.

Кстати, оно только с картами работать должно или будут варианты?

Пока что в стандарте только про карты. Причем - Мастер, Виза, Амекс. Никакого МИРа, но возможно расширение в будущем. (Опять же есть и другие локальные платежные системы, не скрепные но независимые, RUpay, Octopussy, в европе там еще дофига всего).
И таки да, подключение к пеймент гейтам эквайера - это по прежнему вопрос владельца сайта\самого эквайера если платеж\ввод данных карты идет на его странице. Меняется только механизм доставки платежных данных от браузера к сайту.

Неоченные профиты какие-то. Ну, пусть пилят, будем смотреть по факту. Всяко не DRM пилить.

Ну пока запилено в Хроме (кажется по дефолту выключено). Кроме тестовой страницы никто вроде нигде не пользует эту фишку, хотя ничто не мешает совмещать WPA с фаллбеком если в браузере поддержки нет.
А вообще я хз зачем всеж таки. Всякие ГерманГрефы вообще утверждают, что картам осталось 5-10 лет от силы, а потом будут платежи либо через Бибкоены либо e-invoicing прямо со счета.

А что если сервер вернёт пустой ответ по специальному API?!

Тогда хана, лол. Просто они считают что что-то вроде Ajax будет надежнее.

Вот ссылочка - https://www.w3.org/Payments/card-network-ids

amex
cartebancaire
diners
discover
jcb
mastercard
mir
unionpay
visa

Таки МИР поддерживается О_о

Note: Merchants may use Payment Request API without specifying a filter and receive card information for any network, whether or not that network is listed here.

Вот тут странно - https://www.w3.org/TR/payment-method-basic-card/
Зачем там BasicCardType с вариантами
credit
A credit card.
debit
A debit card.
prepaid
A prepaid card.
?

Чёрт их знает.

Я просто не понимаю нафиг мерчанту это знать. Никогда не видело сцайта чтобы он скажем брал кредитные, но не принимал дебетки. Скажем кукурузина вообще "препейд" но её берут везде.

Гордый мерчант откажется обслуживать нищих с кредитом.

Мне вот еще что интересно - ок, оно собирает и хранит данные о карте, ладно. А как в этот вот "простой процесс оплаты" списывается 3DS?
Там же предпологается переход (ну или отображение в ифрейме) специально страницы эмитента карты на которой он проверяет двухфакторную авторизацию карты.