Qué hace un backend

El proceso de conversión tiene tres piezas que conviene no mezclar. La regla dice qué se busca, en un formato neutral: qué fuente mira, qué valores se buscan y cómo se combinan. El backend es el código que conoce un destino concreto: cómo se escribe una igualdad, un «empieza por», una lista de valores o una negación en el lenguaje de esa plataforma. La consulta es lo que sale, y es lo único que la plataforma ejecuta.

Dos reglas de lectura de Sigma que el backend respeta: los campos de una misma selección se unen con «y», y los elementos de una lista bajo un campo se unen con «o». Una condition como seleccion and not filtro se traduce a la combinación equivalente en el lenguaje destino. Cambiar de plataforma cambia el backend; la regla no se toca.

Abre el panel y lee regla_cvp_101 (la regla en Sigma) y consultas_generadas (lo que sale de ella en tres destinos inventados, con dialectos distintos: tuberías, campo y valor, y SQL). La lógica es la misma en las tres; lo que cambia es la escritura. Una operación como «empieza por» se escribe con una palabra clave en un dialecto, con un comodín al final en otro y con el operador de patrones de SQL en el tercero.

La regla tiene una condition con dos partes: una selección que dice qué buscar y otra que, si se cumple, hace que el evento no cuente. El backend convierte la segunda en una negación, que en las tres consultas aparece como not o NOT. Saber qué línea de la regla produjo esa parte es la lectura básica de cualquier consulta convertida: cada trozo de la consulta debe poder rastrearse hasta una línea de la regla.

Una conversión que no da error no es una conversión equivalente. La tabla replay_7_dias lanza las tres consultas sobre los mismos eventos de una semana. Si la regla dice lo mismo, las tres deberían dar la misma cifra. Cuando una se aparta, la diferencia no está en la regla (es la misma) sino en cómo el destino interpreta la consulta.

Sigma compara los valores de texto sin distinguir mayúsculas por defecto, y las expresiones regulares sí las distinguen. Un backend tiene que hacer que el destino se comporte igual, y no siempre puede: depende de lo que el destino ofrezca. Mira la tabla comparacion_de_valores, que dice cómo compara cada destino, y relaciónala con la diferencia del replay.